package example;

import jxl.Workbook;
import jxl.write.Label;
import jxl.write.WritableSheet;
import jxl.write.WritableWorkbook;
import jxl.write.WriteException;

import java.io.File;
import java.io.IOException;

/**
 * Created by lyk on 2018-3-14.
 * Package name: example
 * Porject name: untitled1
 */
public class AuditExcel {

    public static void main(String[] args) throws IOException, WriteException {
        String[] fileNames = new String[]{
                "1.1.1",
                "1.1.3",
                "1.1.4",
                "1.3.1",
                "1.3.2",
                "1.3.5",
                "1.5.1",
                "1.5.3",
                "1.5.7",
                "1.8.2",
                "1.10.2",
                "1.11.1",
                "1.11.3",
                "3.2.1",
                "3.2.2",
                "3.3.2",
                "3.3.3",
                "3.4.1",
                "3.4.2",
                "3.4.3",
                "3.5.2",
                "3.6.1",
                "3.6.2",
                "3.6.5",
                "3.6.6",
                "3.7.2",
                "3.7.3",
                "3.7.4",
                "4.1.4",
                "4.2.2",
                "4.2.3",
                "4.2.5",
                "4.4.3",
                "4.4.5",
                "4.4.6",
                "4.5.3",
                "4.5.4",
                "4.6.1",
                "5.2.3",
                "5.3.7",
                "5.4.1",
                "5.5.2",
                "5.5.4",
                "5.6.3",
                "6.1.4",
                "6.2.1",
                "6.3.1",
                "6.3.2",
                "6.4.2",
                "6.6.4",
                "7.1.1",
                "7.2.1",
                "7.2.2",
                "7.6.1",
                "8.1.1"
        };
        String[] str1 = new String[]{
                "1、询问被审计对象，了解到中心层面设立了技术管理委员会，但组成人员及与会讨论内容与中心系统建设月度会议均有重叠，缺少对重大IT事项进行讨论、决策和监督的职能，未起到有效的统筹管理的作用。建议中心层面尽快成立IT战略委员会，并通过在中心层面正式发文以明确其构成与工作职责，具体包括以下要求1）IT战略委员会成员应包括中心分管副总裁及主要职能部门负责人2）IT战略委员会负责参与信息技术发展战略规划的制定，评审重大信息技术活动及重大信息技术投资决策，并对中心的信息科技治理负有最终责任3）IT战略委员会负责重大IT事项的管理与监控，提升IT服务水平以满足业务持续发展的需求4）IT战略委员会应每年定期召开会议（不低于每季度一次），听取本阶段的信息技术活动、信息化投资目标和项目进展报告，并对中心下阶段的信息技术发展规划进行评审和确定。",
                "1、询问被审计对象，发现目前中心层面尚未制定明确的技术项目优先级的评价维度和衡量标准，主要通过技术开发部、工程运行部、中汇公司、业务部门多方沟通进行技术项目优先级排期，但排期经常随着需求优先级的变化而发生变更2、现场检查各部门沟通形成的项目需求优先级排期的邮件记录，了解到其中明确了各个项目的预期上线时间，并得到了各参与方的确认。但我们发现优先级的变更情况普遍存在，2016年1月1日至今本币项目组共发生了7次需求优先级的变更，我们抽样查看了对应的邮件及会议纪要，发现其中有两次变更在项目开发阶段提出，另有两次变更在UAT阶段提出，均对项目计划造成了直接的影响，造成了开发过程中人力物力资源的浪费。此外，我们发现由于目前中心层面缺乏产品管理委员会或类似机构，导致各业务部门需求的协调与意见的统一难以实现，曾出现两个业务部门分别采购了两套定价模型的情况。建议尽快建立中心层面的产品管理委员会或类似机构以协调各部门的业务需求，具体包括以下要求1）统一收集各部门提出的业务需求，遵循项目需求管理的优先级排序机制执行需求评估，并通过评估结果确定业务需求的优先等级、互相间的联动和需求实现方案，针对相关联的业务需求，在统筹各业务部门的意见后形成统一的解决方案2）建立项目需求管理的优先级排序机制，考虑因素包括但不限于需求相关的信息系统、需求实现的紧急程度、难度、工作量、对系统运行和现有功能的影响以及对周边系统的影响等，形成一个中心认可的规范约束业务部门的需求提出3）建立相关流程和机制，对项目开发过程中的需求优先级调整进行控制，以避免不必要的资源浪费。",
                "1、询问中汇公司被审计对象，发现目前中汇公司尚未建立成熟的质量管理体系，主要依靠QA角色实施质量管理工作职能2、询问技术开发部被审计对象，发现目前技术开发部尚未建立成熟的质量管理体系，主要依靠项目经理角色实施质量管理工作职能3、询问工程运行部被审计对象，了解到工程运行部根据ISO20000框架进行了质量管理体系的搭建，建立了可用性质量管理计划，连续性质量管理计划和能力质量管理计划，明确了质量需求和标准、关键IT流程，并明确定义、监控、纠正和预防的流程、标准和方法，且定义了质量管理相关的组织架构、角色、任务和职责。建议中心层面建立并维护正式的质量管理体系（QMS），以提供一个标准的、正式的和持续的质量管理方法。QMS应明确质量需求和标准、关键IT流程，并明确定义、监控、纠正和预防的流程、标准和方法。同时，QMS应定义质量管理相关的组织架构、角色、任务和职责。",
                "1、审阅《应用系统建设管理办法》，了解到目前中心明确了在应用系统建设工作中，技术开发部是设计中心，工程运行部是数据中心，中汇公司是开发中心，并要求各部门各司其职、加强沟通、密切配合，但未对各信息技术部门的部门职责及部门间的职责边界做出具体而明确的定义和描述。另外，我们审阅了中心的三定方案，了解到中心曾于2014年开展过三定工作，对各个部门的基本职责进行了确定，但2014年至今各信息技术部门的职责发生了较大的变动，中心未重新以发文的形式对部门职责进行更新的定义和描述。建议中心层面尽快通过发文的形式，明确各信息技术部门和机构的工作职责，具体包括以下要求1）制定各部门在信息科技发展规划、信息化架构管理、投资管理、系统开发和测试、项目管理、系统运维和安全管理等各领域中的工作职责2）划分各部门在在信息科技发展规划、信息化架构管理、投资管理、系统开发和测试、项目管理、系统运维和安全管理等各领域中的职责边界，以避免部门职能的交叉或部分职能缺少责任部门的情况3）根据部门职责划分的结果，及时明确并更新各部门内部的岗位职责，必要时通过管理制度的更新对岗位职责的界定进行规范。",
                "1、审阅中汇公司岗位职责说明书，了解到中汇公司定义了各个岗位的名称及对应的知识技能要求2、审阅技术开发部岗位职责说明书，了解到技术开发部定义了各个岗位的名称、岗位职责和岗位任职条件，但发现存在岗位任职条件较为模糊，现有员工能力与技术开发部作为设计中心的职能要求存在一定差距的情况3、审阅工程运行部岗位职责说明书，了解到工程运行部定义了各个岗位的名称及对应具体职责。建议技术开发部增强部门的人员配备，以提升部门的整体实力，使技术开发部人员配置的数量、知识、资历结构情况符合中心对部门的定位和职能要求，具体包括以下方法1）进一步明确各岗位的岗位任职条件，与人力资源部加强沟通，完善针对于技术开发部人才的招聘计划及招聘制度，吸纳更多资深人员，填补岗位和人才缺口2）通过开展岗位技能培训和业务部门交叉培训等方式，对现有人员进行统一培训，提升现有人员的知识技能素养3）建立关键岗位员工流失风险评估机制，并制定相关风险防范措施，进一步加强关键岗位员工离岗前交接工作的落实。",
                "1、询问被审计对象，发现目前技术开发部尚未未形成完善的备岗清单，仅口头确认对应的备岗人员2、询问被审计对象，了解到中汇公司以项目组形式进行管理，各组已建立了良好的团队工作意识及敏捷高效的人员备份机制2、审阅工程运行部和北京工程部的岗位互备清单，了解到部门内部总结并统计了各小组的具体岗位及备岗情况，并且编制了岗位互备清单，相关文档均保存于E-doc中。建议技术开发部尽快明确关键岗位人员的备岗人员，提高关键人员的可替代性，减少对于这些人员的过度依赖，具体包括以下措施1）根据对技术难度要求的判断合理安排各岗位之间的备岗关系，形成书面的备岗清单并落实相关职责，定期对备岗人员的相关职责进行考核，并考虑将考核结果纳入年度绩效考核范围2）实施定期的备岗岗位轮换机制，培养各个岗位备岗人员的技能水平3）完善部门内部职能交叉培训机制和知识转移机制，制定部门各关键岗位的工作手册，将岗位知识与操作经验文档化以便于知识转移。",
                "1、询问被审计对象，发现中心层面尚未形成统一的IT战略规划，由中心各IT职能部门自行制定各自的规划。技术开发部聘请外部咨询机构形成了《业务系统总体框架》及《交易中心系统整合实施路线图》作为应用系统规划，工程运行部制定了《新一代基础设施及运维管理规划》作为基础设施规划，但未涵盖针对业务发展和需求情况进行的应用架构规划、数据架构规划、技术架构规划、安全架构规划等底层架构规划设计内容2、审阅《业务系统总体框架》及《交易中心系统整合实施路线图》，发现其中包括了本应由业务部门主导规划的核心业务能力蓝图章节，超出了信息技术战略规划范围；同时，规划中应用系统蓝图章节缺乏业务规划的导入2、审阅《新一代基础设施及运维管理规划》，了解到其中分析了中心的现状和面临形势，并从运维管理平台、运维标准化、运维成熟度、运维指标、基础设施规划与建设、容灾规划与建设、流程和服务规划以及人员团队建设各方面进行了建设和规划，但其中也缺乏业务规划的导入。建议中心层面组织各职能部门联合制定中心IT战略规划，信息技术的战略应符合中心业务的发展规划和需求，并涵盖IT治理建设规划、应用架构规划、数据架构规划、技术架构规划、安全架构规划、投资管理、预算管理、资源管理、采购战略、外包战略以及对内外规应对等内容。",
                "1、询问被审计对象，发现发现中心层面尚未形成统一的IT战略规划，由中心各IT职能部门自行制定各自的规划，且中心层面尚未形成完善的IT战略规划的编制与维护流程，目前各部门IT战略规划由各部门进行修订维护2、目前技术开发部的信息技术战略规划主要通过部门会议讨论进行不定期修订维护，但自2012年至今该战略规划仅进行过一次修订，未及时地根据业务的变化对IT战略规划进行定期的更新与维护。建议中心各利益相关方应共同参与编制信息技术战略，信息技术战略规划的编制与维护应满足以下条件1）信息技术战略规划应根据中心年度计划进行定期维护与更新，并在业务和技术发生重大变化时及时修订，保证与中心业务发展战略相符2）信息技术战略规划的发布与更新均应经过业务部门和中心高级管理层的充分审议，并对评审文档进行存档3）信息技术战略规划的发布与更新均应经过OA平台的正式发文流程，发文范围涵盖中心各职能部门。",
                "1、询问技术开发部被审计对象，了解到技术开发部在新一代交易平台系统的建设中在新技术研究，选型，试用和引进方面进行了尝试2、现场检查了技术开发部撰写的技术研讨会参与厂商总结汇报，了解到技术开发部邀请了五家行业领先公司进行招标活动，对其技术方案与中心现有能力与技术的匹配度进行分析与评分并形成研究报告，最终确定了与中心现有体系较为合适的技术进行引进。建议中心层面尽快建立技术研究，选型，试用和引进方面的规范流程和制度，增强各个信息技术职能部门对新兴信息技术的探索和引入，从而为中心层面在技术发展方向进行更为合理的规划打下基础。",
                "1、询问中汇公司被审计对象，了解到目前中汇公司自有人员依据人力资源部的考核通知与模板，每季度及每年末进行绩效考核；中汇公司外包人员的绩效考核尚未形成体系，目前实际操作中较为定性2、现场抽样查看了中汇公司自有人员的《季度绩效考核评价表》和《季度绩效考核评价汇总表》，了解到考核模板中包含对工作业绩与工作态度的考核，且需经过项目经理的审批。现场抽样查看了中汇公司外包人员的考核记录，发现未确定考核标准，评估较为定性3、询问技术开发部被审计对象，了解到目前技术开发部自有人员按部门细化的考核标准进行互评，再作为部门总经理填写《季度绩效考核评价表》的参照；技术开发部外包人员的绩效考核尚未形成体系，主要由项目经理进行定性评价4、现场抽样查看了技术开发部的绩效互评文件，了解到考核模板中包含了包括基础分、增减分、主要贡献、主要不足等内容。现场抽样查看了技术开发部外包人员的考核记录，发现未确定考核标准，评估较为定性5、询问工程运行部被审计对象，了解到工程运行部依据人力资源部的考核通知与模板，每季度末进行绩效考核，由工程运行部各组长填写《季度绩效考核评价表》后上交至工程运行部管理层，管理层对组长关于组员表现进行询问并对评价表进行微调后，汇总形成《季度绩效考核评价汇总表》6、现场抽样查看《季度绩效考核评价汇总表》，发现主要考核指标包括：完成本职工作的数量、质量、效率及业绩，工作表现，季度出勤，职业道德等，确认工程运行部绩效考核指标依据相应岗位职能要求进行设立，符合相关岗的位职能要求7、询问被审计对象，了解到项目负责人每季度填写外包人员驻场服务相关的《验收报告》，并在验收报告中对外包人员的工作表现进行考核评价，评价标准包括：考核时间、工作时长、工作效率、工作质量、工作态度、工作能力、纪律性、指导他人（加分项）、需要他人指导（减分项）等，并交由项目负责人、部门负责人及分管总裁进行签字8、询问北京工程部被审计对象，了解到北京工程部依据人力资源部的考核通知与模板，每季度末进行绩效考核，由北京工程部管理层填写《季度绩效考核评价表》9、现场抽样查看《季度绩效考核评价汇总表》，发现主要考核指标包括：完成本职工作的数量、质量、效率及业绩，工作表现，季度出勤，职业道德等，确认北京工程部绩效考核指标依据相应岗位职能要求进行设立，符合相关岗的位职能要求。建议中心层面或相关信息技术部门尽快建立外包人员的考核与评分机制与配套制度，内容可包括但不限于外包人员的考勤记录、对于安全保密制度的遵守情况、项目参与情况、项目经理的评价，并书面记录评估结果，使外包人员的绩效考核有章可循，且可与外包人员的退出流程相挂钩。中心通过制度落实、系统配置、安全教育、事后评估等措施的结合，形成长期有效、成体系的外包人员管理机制",
                "1、在制度层面，我们发现目前中心暂时缺失针对中心内部人员培训的相关制度，未规定人员技能培训的最低要求，主要由各部门安排自行培训2、询问中汇公司被审计对象，我们了解到目前中汇公司对内部人员的培训方式主要分为以下三种①中汇公司设立了专门的培训系统，将培训课件与培训视频文件等均在系统中进行共享②中汇公司内部推出了系列免费培训课程，其中包括新员工培训，并对培训的执行情况进行了记录③中汇公司提供了报名外训课程的机会，并对培训的报名与执行情况进行了记录3、①现场检查中汇公司的培训系统，了解到其中包括了组织级培训课程、部门培训课程和在线测试环节，每类课程中又会分成多类具体技能培训课程，能较好地满足中汇员工的培训要求②现场检查中汇公司的维护的“免费培训记录及执行情况”，了解到其中对课程名称、培训机构、讲师姓名、培训时间、课时长度、培训地点、参训人员和群组进行了统计，也包括新员工培训的相关记录。我们抽取了一次记录并检查了对应的培训会议签到记录，了解到会议参与情况得到了妥善记录③现场检查中汇公司外训课程的年度培训计划及课程安排，了解到其中对课程名称、培训机构、培训时间、培训地点、参训人员等进行了统计4、询问技术开发部被审计对象，我们了解到目前技术开发部对内部人员的培训方式主要通过年度的新员工培训进行，由各技术开发部项目经理负责对应技术方面的培训与教授5、现场检查技术开发部维护的培训资料文件目录和新员工培训时间表，了解到其中对培训人员、培训内容进行了汇总，我们抽取了本币交易培训、需求分析培训、需求设计方案及实例介绍等三份培训资料，了解到其中包括了新员工工作流程和技能知识的培训内容6、询问工程运行部被审计对象，我们了解到工程运行部每年将培训课程相关的信息资料发放给员工以调查员工的培训意向，各组组长根据员工的具体岗位决定是否准予参加所选培训课程，并填写《年度培训需求表》后上报部门负责人审批，部门负责人审批通过后上报人事部审批7、现场检查工程运行部《培训计划表》，发现不同类别的培训已得到执行，培训相关课件已上传至部门QQ群，且参加培训的相关人员在培训完成后通过填写《中心培训反馈表》将对培训课程的评价反馈到人事部。建议尽快建立相关培训制度，具体应包括以下内容1）安排信息技术人员的入职培训，包括但不限于安全和基本岗位技术要求2）通过岗位技能培训和业务部门交叉培训等，增强信息技术人员对业务逻辑以及工作流程的理解和制度合规意识以及工作技能水平3）根据中心实际情况，设置对信息技术人员技能培训时间或频率的最低要求4）通过问卷调查或考核的方式，对信息技术人员进行不定期的检查，以确定技术人员具备岗位职责要求的知识技能。",
                "1、询问被审计对象并审阅了中心的《软件资产管理暂行办法》，了解到目前由技术开发部统一对软件资产进行采购及登记，并依据需求部门的领用申请进行下发2、现场检查了软件资产许可证的登记管理情况，了解到软件资产的登记依旧依靠技术开发部进行手工台账维护，登记信息包括需求部门、采购立项部门、供应商、产品描述、licence数量、交付内容、licence到期日、licence证明形式、软件交付日期、维护购买、维护到期日等内容。在审计过程中发现Sybase-MA-203和Redhat-MA两个软件在台账中记录的维保到期日期已过期，后续现场检查了两个软件的购买记录确认已续保，但购买记录未及时更新于维护的表格中3、现场抽样检查OA平台的软件资产领用记录，了解到申请领用人通过OA提出申请，通过技术开发部确认符合规范，再由申请人所在部门领导审批与中心领导审批后，转至技术开发部进行操作，OA平台对领用记录进行自动记录。建议尽快建立软件资产管理系统，完成对软件资产登记和领用的全生命周期的统一管理，具体包括但不限于以下功能1）软件资产信息的登记，包括需求部门、采购立项部门、供应商、产品功能、产品描述、licence数量等相关信息2）软件资产licence证明形式文件的统一归档3）软件资产或维保的到期日记录和到期前提醒续购4）软件资产的领用流程及剩余licence数量不足的提醒续购5）软件资产的定期盘点流程以及盘点记录归档。",
                "1、询问被审计对象并审阅《固定资产管理制度》和《软件资产管理暂行办法》，了解到目前由行政保卫部负责固定资产标识张贴与硬件资产盘点，由技术开发部负责组织各部门自查并上报软件盘点结果2、现场检查技术开发部组织开展软件资产盘点的OA通知单、各部门软件资产盘点反馈邮件及技术开发部的盘点结果统计记录，发现《软件资产管理暂行办法》将软件资产盘点的职能定位至各个部门进行自行盘点，但未对软件资产盘点工作的频率和具体方式要求进行明确。目前中心的软件资产盘点工作未定期进行，且分散盘点过程中未制定统一的盘点策略与模板，无法保证软件资产得到了恰当的盘点3、现场询问行政保卫部被审计对象，了解到对于小型设备，将在领用出库时张贴固定资产标识，对于大型设备，将在领用出库时将相关的固定资产标识交给领用人员，并在设备上架时由领用人员自行张贴4、现场询问行政保卫部被审计对象，了解到固定资产盘点的频率为每年至少一次，由财务部发出盘点签报，行政保卫部根据签报指示牵头组织。行政保卫部资产管理员使用扫码枪进行现场固定资产盘点后，相关资产信息将自动录入盘点系统，再由相关盘点负责人从系统中导出记录了资产条码、资产名称、资产规格、资产型号、资产购置日期、资产原值、保管人、存放地点、资产编码的《固定资产明细统计表》，与资产所有人进行确认后，由资产所有人签字确认。对于存在疑问的资产，将在《固定资产盘点调整表》中记录条码、资产名称、部门、保管人、存在问题、调整意见等内容，并在问题解决后由资产所有人签字确认。建议尽快建立软件资产管理系统，完成对软件资产登记和领用的全生命周期的统一管理，具体包括但不限于以下功能1）软件资产信息的登记，包括需求部门、采购立项部门、供应商、产品功能、产品描述、licence数量等相关信息2）软件资产licence证明形式文件的统一归档3）软件资产或维保的到期日记录和到期前提醒续购4）软件资产的领用流程及剩余licence数量不足的提醒续购5）软件资产的定期盘点流程以及盘点记录归档。",
                "1、询问被审计对象，了解到目前中心层面尚未制定相关制度针对数据类信息资产进行明确的定义和分类，目前仅在工程运行部内部基于ISO27001制定了《信息分类分级管理细则》，针对信息的分类和分级做了明确定义和规定。建议中心层面遵循《中国人民银行信息技术审计规范》的要求，根据中心数据的关键性、敏感性等级（如公开、内部、保密、绝密等）建立一个适用于整个中心的数据分类标准。该分类标准应作为访问控制、数据归档/加密等控制的基础，且应包括以下内容1）数据所有权的详细说2）数据所有者的职责权利义务说3）对各级别的数据明确适当的保护要4）明确数据保存和销毁要求",
                "1、询问被审计对象并审阅《信息安全管理办法》，了解到中汇公司与工程运行部按照制度规范，对敏感数据交换均采用光盘刻录的方式，但制度中未对其申请流程进行明确规定2、现场检查中汇公司刻录机与光盘的使用情况，发现项目组QA负责保管刻录机与光盘，但目前未对数据刻录行为进行记录，且未对每次刻录的数据进行及时的清理3、现场检查工程运行部注册U盘的使用情况，发现联软安全助手能够限制注册U盘的最大使用次数和允许使用时间，但申请注册U盘的《外汇交易中心安全助手变更申请单》中并未设计限次、限时栏位，目前，注册U盘在ECC中的拷贝权限一经开通即长期有效，不符合最小授权原则4、询问工程运行部被审计对象，了解到员工需要使用光盘进行数据刻录时，需要向运行工程部专人领用光盘并填写《工程运行部物品领用记录》，刻盘完成后，对于不需要以电子文档形式存档的光盘交至专人并填写《运行部软件资料存档记录》，对于需要以电子文档形式存档的光盘按照《电子档案存档办法》交至工程运行部副总。建议中心层面遵循《信息安全管理办法》和《中国人民银行计算机系统信息安全管理规定》的要求，根据中心对内外网数据交换的安全控制要求建议一个适用于整个中心的存储介质管理标准，应包括以下内容1）所有存储介质应保存在安全的物理环境中，并有明晰的标识2）应选择安全可靠的存储介质用以数据的传递和交接，做好防信息泄露控制措施。重要信息的存取需要授权和登记3）严格管理移动存储介质，定期核查所配发移动存储介质的在位使用情况，严禁违规使用移动存储介质4）建立和加强存储介质销毁工作制度，对载有敏感信息存储介质的销毁，应使用专用工具进行信息消除、消磁或物理粉碎等销毁处理，并做好相应的销毁记录。",
                "1、询问被审计对象并审阅《岗位调整和人员调动管理办法》，了解到员工离职需要填写《运行部员工岗位调动/离岗手续表》，由所涉及账号权限所在系统的管理员对生产权限、生产辅助、办公权限等进行调整后签字确认，且需要经过部门领导和人事部相关负责人的审批2、现场抽查员工调岗/离职手续文件，了解到调岗人员所在部门负责人填写了《运行部员工岗位调动/离岗手续表》交保密员，保密员在表单中列出调岗人员应该调整的生产权限，将表格交给调岗人员，并督促对应的系统管理员完成调整。相关调岗人员及时办理岗位交接工作，并通知相关职能组修改设备信息，申请调整办公权限。在完成岗位交接工作后，相关人员填写人力资源部发布的《岗位调整表》，交由综合文秘岗复核后提交部门负责人核定，最后提交给人力资源部3、现场检查时发现工程运行部系统组和应用组的调岗员工在工作交接中存在疏漏，未将本地应用系统升级的ITIL表单提至北京工程部，导致北京工程部应用系统版本未与本地保持同步升级。该问题于2017年5月的外汇交易系统灾备切换演练时，导致了北京灾备系统无法顺利接替从而使生产演练被迫中断的情况。建议中心尽快完善工作交接相关制度，进一步细化并规范工作交接流程，具体包括以下内容1）完善部门内部职能交叉培训机制和知识转移机制，制定部门各关键岗位的工作手册，将岗位知识与操作经验文档化以便于知识转移2）通过工作交接清单明确具体需要进行交接的内容与事项，包括但不限于未完成的工作内容、例行工作内容与临时特殊工作内容。严格履行交接手续，降低由人员交接产生的风险，保障业务持续性。",
                "1、询问被审计对象，并审阅《信息安全体系实施办法》，了解到运行部基于ISO27001成立了信息安全工作小组，每年组织进行全员信息安全意识培训，并对培训效果进行回顾2、抽取并审阅了2016年安全意识培训的《关于开展信息安全意识培训讲座的通知》、《安全意识培训课程清单》、《安全手册》及《2016信息安全意识培训签到》，了解到中心按期进行了安全意识相关培训，具体包括智能设备、互联网使用、计算机外设使用、其他信息载体使用、社会工程学攻击及信息安全事件处置等内容，且参与人员覆盖全中心范围。但现场审计时发现，仍存在部分员工安全意识较为薄弱的现象。检查过程中发现存在员工内网机未设置定时屏幕保护程序、内网机装有工作无关软件、密码管控较弱、23号楼2楼生产机房散落有包括网络拓扑图和设备IP地址等保密信息的纸质文件等情况。建议加强中心层面的信息安全培训力度，提高培训频率，丰富培训方式，以达到更好的培训效果，具体包括以下内容1）加强全员信息安全意识培训，内容包括但不限于桌面终端安全、信息保密、网络访问安全、信息资产保护等2）通过网络、发布宣传手册等多种途径进行信息安全的宣传3）完善信息安全意识培训的更新机制，定期或当存在重大安全环境变更或内外归要求变更时对信息安全培训内容进行更新4）对员工的信息安全意识，通过问卷，考核等方式进行不定期的检查。 ",
                "1、询问业务部门被审计对象，了解到中心层面尚未针对各个生产系统的账号权限的出具制度的约束，各业务部门各自管辖的应用系统的权限增删改流程主要通过内部邮件审批或口头告知的方式实施权限增删改。目前仅数据仓库系统和电子邮箱系统分别确立了《数据仓库管理办法》及《电子邮箱管理办法》，要求权限的新增、变更及注销均须通过OA流程进行申请2、对比目前中心人力清单与审计范围内各应用系统账号权限清单，发现存在已调岗至人事部的王震及已离职的吴弘毅和尹鹏鹏，仍在CIM系统中保留有市场一部的账号权限；已调岗的张叶华和张晃晃及已离职的姜昱霖等7人，仍在CIM系统中保留有信息统计部的账号权限；早期创建已无人使用的16个账号，仍在CMDS系统中保留账号权限等调岗/离职员工系统权限未及时调整或注销的情况3、现场抽样并检查审计范围内应用系统的权限新增变更邮件，了解到权限的新增变更均经过了部门负责人的审批，且与系统中权限一致。现场抽样并检查了数据仓库系统的权限新增变更OA流程，了解到权限的新增变更需经过申请部门负责人、数据仓库系统管理员与信息统计部部门负责人的审批，且与系统中权限一致。建议中心层面根据中心各应用系统的管理情况建立一个适用于整个中心的应用层权限管理制度，有效识别应用系统的登录用户。该制度用以规范当前的内部应用系统身份认证管理，且应包括以下内容1）用户新增、修改、删除的相应审批流2）明确用户权限设置的最小授权原3）不同用户设置不同用户标识以确保用户标识唯4）重要应用系统采取两种或两种以上身份鉴别方式",
                "1、审阅《账号和口令管理细则》，了解到所有特权账号均需经授权后通过堡垒机登录和使用，并保留所有操作日志2、询问被审计对象，了解到申请堡垒机权限需要提交ITIL申请单并经过恰当审批3、审阅操作系统及数据库特权账号的权限分配清单，堡垒机用户权限清单，堡垒机对应系统权限映射关系清单，并抽样用户特权账号调整的相关审批流程：单号SR20059529,“堡垒机增加管理服务器”，发现权限经过了恰当审批，且审批的权限与堡垒机权限设置一致4、现场检查堡垒机日志管理情况，发现审计日志在堡垒机服务器上保存3个月，堡垒机管理员每三个月对堡垒机授权文件、配置文件进行备份，并在FTP服务器和本机各存放一份，记录字段包括：内容命令回放、登录IP、会话起止时间、审计资源类型、登录ID、服务器名称、服务器IP，协议类型（包括SSH、SFTP、RDP，RDP默认关闭，开启需要特殊申请）。目前尚未对堡垒机服务器日志文件进行备份。管理员每月登录查看堡垒机空间是否满足要求，并手工删除堡垒机日志。建议加强对堡垒机的整体管控，以更好地发挥堡垒机的功能，实现对核心系统运维和安全审计的管控，具体包括以下方面的要求1）建立相关的监控机制，实现对堡垒机存储空间的自动监控功能，保证堡垒机剩余存储空间不足时的及时发现与处理2）通过技术手段延长堡垒机审计日志和操作录屏的保存期限，以满足《网络安全法》对于日志保存时长不低于6个月的要求3）要求堡垒机管理员在定期对堡垒机授权文件、配置文件进行备份的同时对堡垒机服务器日志进行备份。",
                "1、询问业务部门被审计对象，了解到中心层面尚未针对应用层的内部用户建立内部用户账号定期审阅制度和机制，各业务部门系统管理员未对内部用户账号进行定期审阅。工程运行部制定了部门制度《账号和口令管理细则》，要求安全组每季度通过审计平台抽查特权账号的操作日志，但近半年仅执行一次。建议中心建立系统应用层内部权限的定期审阅机制，以剔除冗余应用层用户权限，具体包括以下内容1）针对各个系统的定期审阅工作进行统一要求，由系统属主业务部门定期（至少每年）发起对业务系统中的账号和相应权限进行审阅，相关部门负责领导对审阅结果签字确认，并由各系统管理员对检查结果进行记录和保存2）对于发现的冗余账号和权限，首先收回其访问权限；对于存在非授权的访问和修改或发现舞弊信号的，可考虑开展适当的调查工作3）在中心层面，指定系统应用层内部权限审阅的总责任部门，负责定期收集汇总各个系统的用户定期审阅记录4）风险管理部应在审计工作中对业务部门的检查结果和记录予以抽查，确保系统中冗余账号和权限被及时发现，防止未授权的访问和操作5）要求工程运行部安全组尽快依照《账号和口令管理细则》的要求，每季度通过审计平台执行特权账号的操作日志的抽查工作，以验证其操作是否与实际工作需求一致。",
                "1、审阅《账号和口令管理细则》，发现其中规定了以下口令强度的基本要求（一）口令长度不得低于8位，应由字母、数字和特殊字符混合组成，应由字母、数字和特殊字符混合组成（二）办公类账号口令修改周期不得超过1年，生产及生产辅助类账号口令修改周期不超过6个月，口令到期应及时修改（三） 三级应用系统应对用户身份进行双因素认证，如UKEY、数字动态令牌等认证方式（四） 三级应用系统应提供口令历史记录功能，禁止使用和前4个口令相同的口令但是，现场审计时发现（1）Linux操作系统未配置密码到期策略（2）本币系统的ORACLE数据库密码配置策略未设置密码到期策略（3）外汇交易核心系统参数维护账号的密码为“111111”，密码设置过于简单（4）监控系统的系统用户账号目前均使用相同的8位密码，且未进行过修改，不满足中心制度要求的“程序用户、接口用户密码至少为16位，且至少2年修改一次”的规定（5）询问被审计对象，了解到，外汇交易系统分为两个模块：是LCM交易辅助模块（场务和信息展示）和RET核心模块。目前，LCM交易辅助模块无密码配置策略，且密码设置规则固化于系统中无法进行修改；RET核心模块密码配置策略为：最小长度为3位，密码有效期为180天，登录失败锁定次数为3次，密码历史记录为3个，无复杂度要求，不符合中心信息安全制度要求2、现场抽样检查审阅范围内的系统的密码长度和复杂度，发现外汇交易核心系统参数维护账号的密码不符合长度和复杂度要求3、现场抽样检查审阅范围内的三级系统，发现已使用UKEY、数字动态令牌等认证方式对用户身份进行双因素认证。建议各部门严格遵循中心制度中针对口令强度和定期更换的要求，对不符合中心要求的情况尽快进行整改，具体包括以下内容1）针对所有系统密码控制策略进行梳理，及时发现未符合密码强度或定期更换要求的系统并进行集中处理2）对因系统限制无法设置密码策略的系统进行相关的系统改造和升级，以符合密码策略配置的内外规要求3）对暂时无法升级和改造的系统，采用人工方式进行设置，确保密码配置有一定强度，并实施定期抽查等方式进行补偿性控制4）建立应用系统安全基线，确保密码配置成为系统开发考虑的一部分，并且使所有业务系统满足相适应的基线。",
                "1、询问被审计对象，了解到网段分为生产区和广域网&外联区，生产网段分为：本币业务区，外汇业务区，增值托管业务区，23号楼生产核心，信息业务区；广域网&外联区，23号楼生产服务器区，场务管理区（生产运维，场务监控，远程管理），模拟环境（内网），模拟环境（外网），办公内网，办公外网，开发环境，网站。外联通过防火墙策略进行隔离。内外网之间物理隔离，且部署了网闸2、审阅网络结构拓扑图和《网络IP地址规划》,发现已根据业务系统所处理业务种类、重要性和数据敏感程度划分不同网段，涉及资金、敏感信息的重要网段已与其他网段隔离，且未将重要网段部署在网络边界3、审阅防火墙在CMDB中的配置情况，发现已配置合理的控制规则，个别情况下，允许外部网络特定地址通过特定端口访问内部网络特定地址，例如：金山毒霸和WSUS服务器各配置一台内网和一台外网服务器，采用网闸策略限制端口和IP地址，以进行内外网服务器的联通4、审阅《网络设备配置规范》，发现该规范未及时更新，最近一次的更新时间为2015年6月，版本的时效性存在问题。抽查审阅核心交换机，接入交换机等网络设备的配置文件，发现ZJ23201OA3560AS1接入交换机ACL中存在不再适用的外包相关的网段未及时移除的情况，同时ZJ23101OA7009CS5核心交换机未启用远程访问源地址限制相关配置5、询问被审计对象，了解到外网核心防病毒ACL配置在核心汇聚交换机上，内网防病毒ACL配置在接入交换机上。抽样检查外网核心交换机、内网接入交换机等网络设备的配置文件，发现外网核心交换机ZJ2310IN12510CS1和内网接入交换机ZJ381F-OA2560AS2均已配置防病毒ACL6、现场抽检核心网络设备配置文件，发现广域网区连接中继站的骨干路由器上配备了Qos，对张江到北京的骨干交易线路的流量进行分配，保证会员生产交易70%带宽，并限制内部视频会议带宽为2M；此外，对重要中继站配置了冗余专线，保证重要业务最大带宽不低于总带宽的75%。建议责任部门尽快对《网络设备配置规范》进行更新，并对当前各类网络设备的ACL配置情况进行检查，一方面要求所有核心交换机均须启用ACL配置，另一方面应对配置网段等内容进行及时更新，以保证实现端口、网段和虚拟子网的全面合理的访问控制。在此基础上，建议责任部门加强对包括ACL配置在内的网络访问的控制管理，保证内部系统/数据的访问均经过授权。",
                "1、询问被审计对象，了解到安全管理人员了解入侵检测系统的管理职责2、询问被审计对象并查阅入侵特征库升级记录，了解到IDS特征库由IDS管理员根据特征库更新情况进行手动升级，截止现场审计时间，IDS特征库最新升级时间为2017年5月5日。IPS入侵防御特征库由IPS管理员根据特征库更新情况进行手动升级，截止现场审计时间，IPS入侵防御特征库最新升级时间为2017年5月14日3、审阅网络结构拓扑图，发现已配备入侵检测、入侵防护、安全网关等防护系统4、询问被审计对象，了解到目前已对入侵信息进行分析。现场抽查《IPS安全运行月报》，发现其中对安全事件类型、TOP10事件、维护动作、安全事件走势、主要事件类型等进行了统计分析；现场抽查《IDS安全事件情况报告》，发现其中记录了风险事件级别、事件类型、事件趋势，并对Web服务远程SQL注入攻击可疑行为等进行了统计分析5、现场调阅防火墙和路由器配置文件，检查是否进行IP地址、MAC地址和接入点绑定时发现，目前仅21台ECC场务操作区终端绑定了MAC地址，剩余34台尚未绑定，存在非法内联的风险。建议责任部门尽快部署相关网络安全策略，绑定剩余ECC场务操作区终端的MAC地址，有效阻止非授权设备私自接入内部网络，以杜绝非法内联的可能。在此基础上，建议责任部门完善网络安全防护机制，对非法外联监控、入侵检测系统和网络恶意代码防范等方面加强管理和监督；提升相关操作人员的安全意识，使其主动识别网络安全相关风险并对薄弱环节进行改进",
                "1、审阅网络设备配置文件，发现路由器zj23103wx6604rt1口令为密文，且设置了认证、授权、审计3A配置，登录超时、日志、NTP等，但未对VTY、CONSOLE端口设置登录失败次数控制。核对交换机zj23101hx7009cs5配置信息与CMDB内的信息，发现二者一致2、询问被审计对象，了解到vty通过思科网络设备管理软件ACS进行管控，目前能够管控防火墙设备和网络设备，是认证服务器的概念，且有审计功能，能够记录登录时间、用户、输入的命令、端口、登录IP等信息3、审阅网络设备配置文件，发现网络设备配置中未禁用Telnet服务4、审阅网络设备配置规范，发现其中规定了密码非明文存储、认证、授权、审计3A配置、NTP、日志等，但未对VTY、CONSOLE端口设置登录失败次数。建议责任部门尽快更新《网络设备配置规范》的相关内容，并在实际操作中严格遵循相关规定，对console、vty端口设置登录尝试失败次数进行配置，并对各网段网络设备禁用Telnet等不安全的服务，以保证网络设备自身的安全性。在此基础上，建议责任部门加强对网络设备配置规范的控制，定期检查端口和服务的设置情况，对配置的规范性设置KPI指标，作为网络管理员年度绩效考核标准中需要加以评定的要素之一，保证网络设备配置的规范发展。",
                "1、询问被审计对象，了解到目前有2种入网申请方式：对于中汇公司内部的入网申请，由申请人通过邮箱发送申请邮件至联软软件管理员；对于中心内部的入网申请，由申请人填写《外汇交易中心安全助手变更申请单》，并由联软软件管理员审批2、现场检查联软软件的桌面管理监控设置情况及软件安装导出列表，发现目前联软对于使用弱口令的终端用户仅采用告警策略，而未启用断网功能，且未启用包括“黑白名单”等在内的软件授权管理功能，现场审计时发现，部分终端安装了搜狗购物助手、每日TV、有道购物助手、QQ游戏等非办公相关应用3、现场检查深信服软件的网络行为和流量监控，以及个人带宽限制设置情况，发现目前已采用的策略为：禁止使用聊天社交、论坛、视频、游戏等软件；根据不同类别的用户分组，限制网络最大带宽（不超过总带宽的40%）和单个用户带宽（2M/S），并限制P2P及视频流量；目前已开启上网行为审计策略，审计对象为所有明文内容，包括：IM、邮件、FTP、网站访问、HTTP外发内容等，审计日志目前保存1个半月，计划外扩到3个月；报警规则包括：磁盘空间、流量超限、日志中心异常、CPU/内存占用高等4、现场检查防病毒软件管理服务器策略设置及权限管理情况，发现目前采取的防病毒策略为：每周五中午12:30定期查杀，每天早上8:00定时升级病毒版本，现场检查时的版本号为2017.05.18，内外网各配备了一台金山毒霸防病毒管理终端，外网的病毒库信息通过网闸映射到内网，再与内网信息同步。目前，防病毒软件管理服务器管理员为范文杰和周斌5、现场检查操作系统补丁管理服务器策略设置及权限管理情况，发现目前采取的WSUS策略为：通过WSUS向客户端推送最新的补丁。补丁升级通过普通变更实现，现场抽样单号CR20008113，“AIX操作系统补丁升级”。补丁升级需要签报，签报附件包括模拟测试报告、变更操作手册、变更实施方案6、现场查看通过联软推送的禁用445端口的Windows勒索补丁，发现已成功推送和安装7、询问被审计对象，了解到目前联软无法强制终端用户设置屏保功能。同时，生产网段和部分大楼的网络交换机未配置准入策略，存在外接设备和非法内联的风险。建议中心通过安全意识培训、异常情况追责及相关技术手段加强桌面管理，具体包括以下方法1）通过培训和宣传，告知员工安装盗版软件和共享软件、个人终端设备弱口令及未设置屏保策略等情况可能存在的风险，提高员工的信息安全意识，让员工自觉主动进行风险规避2）尽快要求所有终端接入网段的交换机配置严格的准入策略，以保护中心的信息和财产安全3）建立对于用户终端计算机软件安装情况、终端口令强度及屏保策略设置的定期抽查机制，对于发现的异常情况进行追责，并且可以考虑此类问题和员工的绩效进行挂钩4）建立软件黑/白名单管理机制，并且要求开启联软的相关功能，禁止所有黑名单内的软件安装于任何内网环境的个人终端中，或通过域控制、联软统一管理等方式，收回终端用户的管理员权限，降低非法安装软件的管理难度。",
                "1、询问被审计对象，了解到当前工程运行部已经形成CMDB配置库，但目前配置基线核查管理尚处于准备和起步阶段，尚未建立定期对网络设备、操作系统、数据库、中间件等进行安全配置核查的相关制度，且2017年未执行过安全配置核查工作2、询问被审计对象，了解到目前计划邀请第三方配合制定扫描模板，并由其他组配合提供设备型号、IP地址等必要信息，使用安全配置核查系统将配置基线管理检查工作进行固化。目前扫描类别主要包括：操作系统、网络设备、中间件、数据库，执行扫描的环境为模拟环境3、抽查审阅核心交换机，接入交换机等网络设备的配置文件，发现ZJ23201OA3560AS1接入交换机ACL中存在不再适用的外包相关的网段未及时移除的情况，同时ZJ23101OA7009CS5核心交换机ACL未启用远程访问源地址限制相关配置建议中心尽快建立针对各类网络设备、操作系统、数据库、中间件等进行安全配置核查的相关制度，明确配置基线核查管理的具体流程，执行频率等，并在实际操作中严格遵循该制度，通过人工或技术的手段定期执行安全配置核查工作。建议责任部门尽快制定符合中心情况的扫描模板，对安全配置信息进行定期扫描，并由配置库管理员对扫描结果进行审阅及记录，对于发现的不合规项或风险项进行及时整改并提醒注意。",
                "1、询问被审计对象，了解到所有的配置变更通过ITIL流程进行申请和留痕，由各组相关人员实时在CMDB配置库中手工更新和维护配置信息2、审阅CMDB负载均衡策略，发现其中记录了IP地址、IP网段功能、广域网线路（包括专线信息，会员信息）、网络设备资产信息，网络设备软件，网络设备配件（板卡，电源）、接口信息等信息。但是，网络设备资产信息表部分内容缺失，例如：\"\"存在位置\"\"、\"\"状态\"\"、“对联设备接口”等3、审阅CMDB网络安全策略，发现其中记录了安全设备信息、安全设备接口信息、管理终端地址，IOS软件版本，防火墙策略，安全net策略等信息。但是，网络安全策略存在部分字段遗漏，例如：“管理终端地址”、“IOS软件版本”等。建议责任部门加强针对CMDB配置库的管理，具体包括以下内容1）完整记录对配置项的新增、修改和删除操作，以及操作信息（配置编号、设备信息，配置文件，版本号，操作时间，操作人等）2）及时对配置项进行维护，并设置定期检查和抽查机制，检查各安全配置项是否设置初始配置值，初始配置值是否符合内外规的要求，各配置项内容是否与资产实际配置的一致，各配置项内容是否完整且具有可用性3）对检查结果中发现的不符合要求的配置项进行及时整改，保证CMDB配置库登记信息的准确性和时效性，并对每次检查的流程和结果予以记录留痕。",
                "1、现场检查联软软件的桌面管理监控设置情况，发现联软监控的设备包括：设备IP、设备类型、部门名称、用户名称、MAC地址、网段、网络设备、端口、BIOS序列号等。软件管控方面已开启防病毒软件策略，启用准入功能的前提下，必须安装防病毒软件才能联网；数据防泄漏方面已开启非授权外联策略，禁止内网机私自连接外网，禁用手机拷贝数据的驱动，禁用所有内网机无线网卡、USB存储设备、WIFI热点、蓝牙红外、外接网卡、非注册U盘。申请注册U盘的流程为：填写《外汇交易中心安全助手变更申请单》，由部门保密员审核通过后开通权限。联软安全助手能够限制注册U盘的最大使用次数和允许使用时间，但申请注册U盘的《外汇交易中心安全助手变更申请单》中并未设计限次、限时栏位，目前，注册U盘在ECC中的拷贝权限一经开通，长期有效2、现场检查软件安装列表，发现联软目前未启用包括“黑白名单”等在内的软件授权管理功能，现场审计时发现，部分终端安装了搜狗购物助手、每日TV、有道购物助手、QQ游戏等非办公相关应用。建立中心通过安全意识培训、异常情况追责及相关技术手段对终端软件的安装情况进行限制，具体包括以下方法1）通过培训和宣传，告知员工安装盗版软件和共享软件可能存在的风险，提高员工的信息安全意识，让员工自觉主动远离此类软件和威胁2）建立对于用户终端计算机软件安装情况的定期抽查机制，对于发现的异常情况进行追责，并且可以考虑此类问题和员工的绩效进行挂钩3）建立中心软件黑/白名单管理机制，开启联软的相关功能，禁止所有黑名单内的软件安装于任何内网环境的个人终端中4）建立对于软件资产管理的长效机制，形成对于软件资产的定期（如每季度/半年）盘点和更新5）通过域控制、联软统一控制等方式，收回终端用户的管理员权限，降低非法安装软件的管理难度。",
                "1、询问被审计对象并审阅《应用系统建设管理办法》，发现目前中心层面尚未实现对项目全生命周期的统一管控，开发的各阶段分别由业务部门、技术开发部、中汇公司、工程运行部进行负责，缺乏整个流程的项目经理角色，且未定义诸如项目执行委员会，项目管理办公室等中心层面的管理职能和管理结构。此外，我们发现各技术部门在项目开发周期中的职责定义尚不明晰，存在性能测试、可靠性测试、安全性测试的提出阶段靠后，导致屡次影响开发项目的进度的情况。建议定义中心层面的项目执行委员会和管理办公室或类似机构，负责日常跟进和协调项目管理流程，明确定义各技术部门在项目开发生命周期中的具体职能，执行跨部门的或无法明确定义至单个部门的职能，统筹协调各部门间不同意见，有效推进项目的顺利开展。项目执行委员会成员应同时包括业务部门和信息技术部门的有经验人员，从项目需求提出阶段开始开展工作，于开发过程中随时跟进，必要时在项目上线后保持跟踪\"1、询问被审计对象，了解到项目启动阶段形成需求设计方案、项目组成员表、项目版本和上线安排、工作量评估表等文件作为技术签报的附件，并以技术签报作为项目启动阶段的交付物2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户统一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本、质押式回购匿名点击交易系统T2016XTRADE0003.v2.0.0.1版本、质押式回购匿名点击交易系统T2016XSWAP0001.年终新增合约补丁版本v1.9.2.1版本、外汇交易系统FX_V2.93.0期权LPA考核及生产问题修复版本、计费管理系统V3.37.0财务部银行管家二期版本、债券基础信息系统V1.8.7 CLN及续发行相关功能需求版本、CMDS系统V3.25.0.0 workplace优化版本十三个开发项目作为样本，现场检查了样本项目的技术立项签报，了解到其中均包含了需求设计方案、项目组成员表、项目版本和上线安排及工作量评估表及对应文件的审批记录3、我们抽取了样本项目中存在项目延期记录的数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、货币网V1.16.26日月报改造版本四个开发项目作为样本，现场检查对应的延期邮件通知，组织级QA周报中对项目计划的预警记录及Redmine中项目计划的调整记录，了解到项目延期计划均经过各部门负责人确认，且Redmine中的项目计划已按此进行对应调整，但未进行完整的报批确认流程。建议中心严格遵循《应用系统建设管理办法》，落实项目计划变更的书面确认与领导审批机制。同时，可在制度中明确阐述不同规模的项目应经何种层级的领导审批及采用何种审批形式，如关键业务系统的重要开发的计划变更须经中汇领导层进行书面确认，关键系统的非重要开发或周边系统的重要开发的计划变更须经中汇领导层进行邮件确认，周边系统的非重要开发的计划变更可由各部门项目负责人邮件确认后先进行变更，在开发项目完成后将计划变更次数、内容、原因等进行汇总，并交由中汇领导层确认审阅。",
                "1、询问被审计对象，了解到项目启动前通过各相关部门的会议，形成项目版本和上线安排、工作量评估表，对项目版本、计划及工作量进行了定义；项目启动后，中汇公司主导编写软件需求规格说明书和技术方案并经过各相关部门确认，对项目背景、项目范围、需求实现方式进行了定义2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户统一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本、质押式回购匿名点击交易系统T2016XTRADE0003.v2.0.0.1版本、质押式回购匿名点击交易系统T2016XSWAP0001.年终新增合约补丁版本v1.9.2.1版本、外汇交易系统FX_V2.93.0期权LPA考核及生产问题修复版本、计费管理系统V3.37.0财务部银行管家二期版本、债券基础信息系统V1.8.7 CLN及续发行相关功能需求版本、CMDS系统V3.25.0.0 workplace优化版本十三个开发项目作为样本，现场检查了样本项目的项目版本和上线安排、需求规格说明书、技术方案，了解到各项目在启动阶段均按照流程规定对项目的实施及测试的计划和安排、版本、工作量、背景、范围及建设必要性等进行了明确描述，但发现技术开发部仅定期就其认为较为重要的未实现需求领域与业务部门进行沟通并确定实施优先级，但未对所有历史未实现需求条目进行统筹归总并有效跟踪，导致部分需求长期未纳入版本排期安排，如2015年本币交易系统会员调研优化需求。建议中心加强需求管理水平，推进规范的项目管理制度，提升业务和开发双方业务需求分析和管理能力；并由技术开发部主导负责版本定义、版本排期工作，将项目版本计划与需求条目进行对应，对于需求的实现状态、预计实现版本、及尚未实现的需求条目数量进行精细化、周期性的管理与跟踪，更有效的体现技术开发部在开发流程中所承担的”设计中心“角色。",
                "1、询问被审计对象QA人员，发现目前在项目管理过程中尚未形成质量管理计划，在技术项目实施过程中主要由QA对项目的关键节点进行质量评审2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户唯一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本、质押式回购匿名点击交易系统T2016XTRADE0003.v2.0.0.1版本、质押式回购匿名点击交易系统T2016XSWAP0001.年终新增合约补丁版本v1.9.2.1版本、外汇交易系统FX_V2.93.0期权LPA考核及生产问题修复版本、计费管理系统V3.37.0财务部银行管家二期版本、债券基础信息系统V1.8.7 CLN及续发行相关功能需求版本、CMDS系统V3.25.0.0 workplace优化版本十三个开发项目作为样本，现场检查了涉及样本项目的QA周报，了解到QA周报中对各项目的进度和质量都进行了“正常”或“预警”的评判。建议在项目立项阶段由各相关责任部门联合出具覆盖开发生命周期的质量管理计划，应包括以下内容1）明确质量管理负责人角色，全面负责指导项目建设质量管理工作2）识别单个项目本身的质量要求，据此建立项目的质量管理计划3）制定项目质量管理办法，明确项目需求提出、项目立项、项目开发和测试过程、交付验收过程和移植上线过程的各项质量控制活动，对项目建设质量进行有效监督4）在项目过程中进行质量管理，不断监测、检查项目质量状况，评估与质量标准的偏差，采取相应的预防和改进措施。",
                "1、询问被审计对象，了解到目前中汇公司主要通过ClearQuest工具进行软件的缺陷和变更追踪，同时通过ClearCase，SVN和GITLAB三类版本控制工具控制软件进行版本管理功能，用于存储、追踪目录和文件的修改历史2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户唯一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本、质押式回购匿名点击交易系统T2016XTRADE0003.v2.0.0.1版本、质押式回购匿名点击交易系统T2016XSWAP0001.年终新增合约补丁版本v1.9.2.1版本、外汇交易系统FX_V2.93.0期权LPA考核及生产问题修复版本、计费管理系统V3.37.0财务部银行管家二期版本、债券基础信息系统V1.8.7 CLN及续发行相关功能需求版本、CMDS系统V3.25.0.0 workplace优化版本十三个开发项目作为样本，现场检查了CQ平台上的缺陷条目和跟踪处理流程，以及CC、SVN、GitLab平台上的版本发布记录等界面，了解到项目软件版本得到了有效的控制，但发现CQ工具的缺陷处理流程中存在少量缺陷的解决人和复核人为同一人的现象，导致缺陷的处理未经复核即流转至下一步的情况。建议中汇公司加强CQ工具缺陷处理的流程管理，落实职责分离原则，并设置相关系统控制，强制要求缺陷的解决人与复核人必须不能为同一人；在此基础上，针对其余开发工具或问题处理工具的双人复核情况进行梳理，及时发现未符合双人复核的情况并进行系统控制的集中设置。",
                "1、询问被审计对象，了解到目前中汇公司暂未制定针对系统源代码开发工具的访问权限控制的管理规定，目前主要由综合管理部工具组对代码开发工具统一进行管理、支持和开发，开发工具的权限通过域管理进行控制，权限的增、删、改通过邮件形式进行申请2、现场检查了用户权限申请流程，了解到目前由项目组通过邮件向工具组提出新增/修改工具权限的申请，并抄送项目组项目经理审批3、现场检查了用户权限禁用流程，发现目前人员离场流程未流转至工具组，工具组仅依靠自己了解到的离场信息进行域用户的禁用操作，我们抽取了已离场外包人员李博进行查看，发现其域账号仍处于正常状态尚未禁用4、现场检查域管理的密码强度设置，发现工具组未对域控密码的长度复杂度进行限制，也未要求首次登陆强制修改密码，现场检查过程中发现多名员工的密码设置均与用户名保持一致，可能存在越权操作的风险。建议中汇公司尽快建立内部开发工具权限管理相关制度，规范内部权限管理相关流程，避免开发工具的非授权登录等行为，具体包括以下内容1）加强开发工具的权限管理，对账号权限的新增、修改、删除参照应用层权限管理制度，实施相应的审批流程，保证访问权限的合规性2）针对所有系统密码控制策略进行梳理，及时发现未符合密码强度或定期更换要求的用户并进行集中处理；在此基础上，对域控密码强度进行符合中心信息安全要求的规范和限制。",
                "1、询问被审计对象，了解到在开发过程中项目组会进行项目组内代码走查工作，并利用checkmarx自行进行代码扫描工作，但发现代码走查流程记录未作为验收测试的准入交付物要求2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户统一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本、质押式回购匿名点击交易系统T2016XTRADE0003.v2.0.0.1版本、质押式回购匿名点击交易系统T2016XSWAP0001.年终新增合约补丁版本v1.9.2.1版本、外汇交易系统FX_V2.93.0期权LPA考核及生产问题修复版本、计费管理系统V3.37.0财务部银行管家二期版本、债券基础信息系统V1.8.7 CLN及续发行相关功能需求版本、CMDS系统V3.25.0.0 workplace优化版本十三个开发项目作为样本，现场检查了样本项目的代码审核结果及checkmarx扫描报告，发现存在项目组未对代码审核结果进行记录，以及X-Trade系统和CMDS系统项目组未对checkmarx扫描报告进行本地归档的现象，无法确认是否对代码进行了审核与扫描，代码的安全性与准确性存在风险。但自2017年起各项目群均已进行代码扫描及报告的归档。此外，现场检查时发现新一代NTP1项目组未对录入CQ系统的代码扫描结果进行全量修复，经询问了解到目前项目组主要根据经验判断或与业务部门的沟通对代码走查中发现的缺陷进行有选择性的修复，缺乏统一的判断标准，可能存在代码走查质量不达标的情况。建议中汇公司加强各项目组对代码走查的重视，具体包括以下内容1）在编码过程中，定期提交走查报告，保证编码错误或缺漏的及时发现，项目组指定专人对过程走查报告进行归档保存2）在代码走查流程的基础上建立代码走查的标准或质量控制措施，提升代码走查的质量3）在验收测试准入的交付物列表中加入最终的代码走查报告4）对验收测试准入项目的代码扫描报告中的重大缺陷性质以及数量进行严格的限制。",
                "1、现场检查UAT测试环境、模拟环境的网段IP地址，并用UAT测试环境的IP地址，与模拟环境的IP地址进行互Ping，发现互ping不通，实现了网段的隔离2、现场审计时发现，存在新一代相关项目使用模拟环境进行UAT测试，且开发人员获得了模拟环境的ROOT权限的情况，该类特殊使用情况仅通过会议确认了借用模拟环境进行开发测试的申请，但未提及ROOT权限的管理，后期也未通过规范的流程进行审批3、抽查审计期间的UAT环境使用申请记录：SR20061083，UUAS系统相关配置申请和模拟环境申请记录；SR20060558，上海总部金融监管系统参数调整，关联例行变更CR20008668，发现上述服务请求经过了恰当的审批。建议责任部门针对所有因特殊情况进行的未经流程化审批的使用请求进行梳理，及时发现未进行审批流程后补的情况并进行集中整改；在此基础上，建议中心尽快设立相关流程和制度，规定模拟环境特殊条件下的特殊使用流程和审批机制，以保证模拟环境的规范化管理。",
                "1、询问被审计对象，了解到目前UAT验收测试流程由技术开发部委托中汇公司测试组进行，技术开发部组织业务部门一起参与，测试组根据测试情况出具测试日报、验收测试报告及UAT测试问题分析报告等，由技术开发部进行质量管控2、根据审计期间开发项目清单，我们抽取了用户唯一认证系统V2.0.0版本、新一代交易平台系统V1.0.0版本和本币交易系统V2.7.1.0版本三个项目作为样本，现场检查了样本项目的测试方案、测试计划、测试用例、测试日报、测试报告等内容，发现：①项目组对测试未通过的存在缺陷的测试条目进行记录，并将测试过程录入CQ缺陷管理平台进行追踪跟进，但未对测试通过的条目进行恰当留痕，存在标记已通过条目实际未经恰当测试的可能。②测试组每轮测试均未覆盖所有的测试用例，目前通过多轮测试保证测试用例的全量覆盖，每轮测试计划的实施情况通过测试日报与每日工作进度表进行记录。但实际检查发现测试人员每日工作进度表存在漏记现象，无法保证测试用例的全量执行。③测试用例平台Testlink上的记录与每日工作进度表的记录存在不一致，第三方测试报告中的记录测试用例条目数记录与Testlink的记录或每日工作进度表的记录也存在不一致的情况。建议中汇公司项目组加强测试的规范性，具体包括以下内容1）通过技术手段对测试的输入、输出过程进行记录2）进一步规范对测试进度和实施结果的统计与记录机制同时，建议作为委托方的信息技术部门对第三方测试进行全面监督管理，具体包括以下内容1）审核测试需求、测试方案和测试计划是否满足要求2）检查测试报告的完整性，对其是否包括测试工作总结、测试结果分析、测试结论、应用系统改进建议等进行评价3）检查测试结论是否明确该应用系统是否满足用户需求，是否具备上线试运行或推广条件等。",
                "1、询问被审计对象，了解到技术开发部按技术签报进行项目验收，对为实现签报中各需求条目的所有系统版本出具统一的验收报告，验收总结报告作为验收报告的附件，记录该项目的服务内容、交付物情况、遗留问题及服务评价2、根据审计期间开发项目清单，我们抽取了T2016CNY006.本币交易系统V2.6.0.9版本、数据仓库系统V3.10.36存量自定义报表版本、交易后处理系统V2.6.5CDS及交易确认查询相关需求优化版本、会员机构管理系统V1.7.4新增批量导入等维护优化需求版本、用户统一认证系统V2.0.0版本、货币网V1.16.26日月报改造版本和新一代交易平台系统V1.0.0版本七个开发项目作为样本，现场检查了对应项目的验收报告及验收总结报告，了解到验收报告中列明了验收结项的各项材料，其中项目需求分析及开发材料统一在中汇公司项目组CC或SVN平台中进行归档，项目测试用例、模拟测试报告等在中汇公司测试部SVN平台中进行归档，项目总结、验收评审文档等在由技术运行部项目管家在平台中进行归档。但我们发现中汇可通过Everything平台读取CC平台上的各类项目资料，Everything平台自2012年起使用，但未设置必要的访问权限控制，且平台的E:/ccrc_view/NGCNYTS_DOC路径中存放有本币交易系统的文档记录，存在项目资料泄露的风险。建议中汇公司加强Everything平台的权限管理，具体包括以下内容1）对Everything平台设置必要的访问控制权限，遵循最小授权原则，避免平台文件遭受未经授权的访问2）对可发布于Everything平台的资料内容加强管控，尽量避免上传开发实施项目的关键技术文档3）访问权限的新增、修改、删除参照应用层权限管理制度，实施相应的审批流程，保证访问权限的合规性。",
                "1、现场检查审计期间内的季度恢复性测试计划，发现恢复性测试计划对于外汇、本币、货债工具、XTRADE等核心数据库的关注度和覆盖率较高，对于其他系统的关注度和覆盖率有限，且恢复性测试目前不会覆盖本年度上线的重要系统，恢复性测试计划的修订更新机制尚存缺失2、现场抽样检查系统恢复性测试记录：审阅本币交易系统《信息系统备份数据恢复验证情况登记表》（20170303），发现其中记录的内容包括：时间、系统、名称、验证结果、验证内容、发起人、确认人、详细说明等，且恢复性测试已按计划执行。建议进一步细化备份数据的恢复性测试相关要求，增加覆盖率的概念，每三年对所有系统的备份数据进行至少一次的恢复性测试，以保证整体备份的可读性和可用性，避免因周边系统数据丢失造成影响关键业务系统的情况；建议在年中对恢复性测试计划的执行情况和覆盖范围进行评估和调整，如添加针对本年新上线的核心系统的备份恢复性测试工作。",
                "1、抽样检查升级为问题的事件单：IN20023769，关联问题PB20002006：货币网搜索功能故障，计划发布版本：V1.19.21；IN20019620，关联问题PB20001758，数据仓库：自定义报表外汇掉期曲线掉期点数值与上游基准不符，关联变更CR20007812，【紧急】数据仓库系统V4.12.11外汇掉期曲线和美元隐含利率曲线增加货币对，发现上述问题单已与事件单相关联2、目前，主要采用邮件沟通并抄送领导的方式申请开通ITIL权限，但是现场审计抽查时发现，个别账号的ITIL权限设置大于申请人的申请权限需求，技术开发部个别员工被赋予了”二线支持权限”，且中汇公司各项目组目前拥有与工程运行部内部同等的“二线支持权限”，可以查看当前生产环境中的各类事件、问题和变更的ITIL流程，存在合规风险3、询问被审计对象，了解到目前尚未建立ITIL权限修改、删除机制，现场审计抽查时发现，个别已离职、调岗员工的ITIL权限未及时锁定，且存在测试账号“test001”未删除的现象。建议工程运行部加强ITIL系统账号权限的管理，取消中汇公司对各类生产事件、问题和变更情况的查阅权限；此外，建议ITIL系统参照业务系统开展相同的定期审阅工作，由总体组定期（至少每年）对ITIL系统中的账号和相应权限进行审阅，总体组组长负责对审阅结果签字确认，并由ITIL系统管理员对检查结果进行记录和保存。",
                "1-3、审计结果参照C3.7.4、询问被审计对象，了解到点检操作流程遵循《点检及应急操作步骤》，《外汇场务内部工作流程汇编》，目前场务组尚未设计点检工作表，现场检查值班组呼叫中心应用平台中的点检记录，发现记录内容完整，且保留了操作和复核记录5、目前尚未建立相关机制及时更新监控系统告警接收人列表，现场审计时发现，工程运行部调岗员工黄昱琪仍在监控系统告警接收人列表中，未予以删除。建议工程运行部尽快建立相关机制，要求离职、调岗员工及时通知监控系统管理员以调整监控系统告警接收人列表；结合离职与调岗手续，将承担包括告警接收人在内的各类职责均列入离职或调岗工作交接单中，与工作职责一同完成严格交接；此外，应形成监控系统告警接收人列表定期审阅机制，根据人员岗位的变化对列表进行及时的更新。",
                "1、询问行政保卫部负责人，了解到各项机房环境指标经第三方技术测评中心评估均符合国家标准，且达到国际A级机房要求2、实地访问并现场检查交易中心机房物理环境，了解到机房目前配备了6台UPS和柴油发电机组，确保在电力中断的情况下能够及时供电；配备了精密空调机组、温湿度监测、漏水检测等设备对机房的环境进行监控；配备了七氟丙烷气体灭火装置和手持二氧化碳灭火器，确保在发生火灾的情况下能及时响应；机房地板抬高约半米以确保防水防潮。满足国家的机房要求3、现场检查过程中，发现机房内存在杂物堆放的情况，并散落有包括网络拓扑图和设备IP地址等敏感信息的纸质文件。建议行政保卫部加强机房环境的管理以及与工程运行部的沟通，保持机房环境的整洁，并就敏感信息的保管意识加强宣贯与引导；通过培训和宣传，告知员工机房杂物堆放或散落敏感信息资料可能存在的风险，提高员工的信息安全意识，让员工自觉主动进行风险规避；对机房环境设置KPI指标，作为机房管理人员年度绩效考核标准中需要加以评定的要素之一。",
                "1、询问行政保卫部负责人，了解到交易中心通过机房门禁系统来管理内部人员对机房等重要区域的访问权限。内部员工申请机房门禁权限时，需在OA系统填写申请单，经所在部门负责人审批后，由行政保卫部实际操作人员在门禁系统中添加相应的权限2、实地访问交易中心机房，了解到进出机房大楼需要刷卡，同时门口设有闸机，交易中心有机房门禁权限的人员进出机房时需佩带员工证，刷卡后方可进入机房3、现场检查机房人员门禁清单，发现存在何川和张可两人调岗离开工程运行部后仍拥有机房权限的情况4、抽样查看OA平台上杜旭东、孙健两名员工的机房门禁申请审批记录，了解到门禁的申请、调整均经过了申请部门负责人、工程运行部负责人及行政部负责人审批5、现场检查外来人员访问机房区域填写的机房进出登记簿。了解到外来人员如需访问机房，需佩带园区访客证，并在有机房门禁权限的内部人员陪同下方可进入，进入机房时需在机房进出登记簿中由陪同人员签字记录建议交易中心尽快建立正式的人员机房权限定期审阅及权限变更以及注销的相关流程及配套制度，进一步加强和规范中心层面的物理访问权限管理，具体包括以下内容1）由行政保卫部定期（至少每年）对机房门禁系统中的账号和相应权限进行审阅，行政保卫部负责人对审阅结果签字确认，并由门禁管理人员对检查结果进行记录和保存2）对于发现的冗余账号和权限，首先收回其访问权限；对于存在非授权的访问和修改或发现舞弊信号的，可考虑开展适当的调查工作3）风险管理部应在审计工作中对机房门禁的检查结果和记录予以抽查，确保系统中冗余账号和权限被及时发现，防止未授权的访问和操作。",
                "1、询问被审计对象并审阅《生产运行系统变更管理办法》，了解到中心目前对生产问题单、紧急需求单或政策性需求单引起的必须在短时间内（无充足变更前导时间或无法提前完成相关测试和签报审批）实施的变更可通过紧急变更的流程进行，但该定义和准入要求较为宽泛。应用系统紧急变更登记表的原因分类可在生产问题单、紧急需求单或政策性需求单中勾选，并由需求提出部门、方案设计部门及工程运行部（或北京工程部）对其进行变更评估后进入开发，在交付模拟环境测试前的必须交付物仅为软件升级包、验收测试报告及变更操作步骤三项材料，且目前未要求流程后补文档2、审阅审计期间的紧急变更清单，我们抽取了本币交易系统V2.7.3.1版本、外汇交易系统20161123-V2.91.6版本、计费管理系统V3.35.1版本和数据仓库系统V4.3.7.1版本四次紧急变更作为样本，现场查看了其应用系统紧急变更登记表，了解到本币与计费系统的紧急变更来源于紧急需求，外汇与数仓系统的紧急变更来源于生产问题，符合制度要求。现场检查了样本项目的软件升级包、验收测试报告及变更操作步骤，了解到必须交付物均已按时交付并归档保存，并在紧急变更登记表上的变更交付一栏中经过了中汇公司、技术开发部和工程运行部的签字确认3、现场审计过程中多名项目组负责人反映，存在由业务需求引发的紧急变更临时转为普通变更或普通变更临时转为紧急变更的现象，导致中汇公司资源调配和项目进度受到影响。建议中心对紧急变更的准入流程要求进行进一步明确的定义和规范，以提高资源配置效率和开发质量。具体包括以下要求1）对紧急变更的范围进行更加明确的定义，可参考的指标包括但不限于：业务系统、产品类别、影响时间、涉及金额、涉及周边系统、变更风险、实施难度与工作量等2）在对紧急变更范围进行明确定义之后，根据该定义来判断每个紧急变更的需求是否合理，对于不合理的请求，不允许遵循紧急流程来实施变更3）加强对业务部门需求提报的管理与协调，要求业务部门提高需求质量，对通过紧急变更进行开发但半途取消的项目实行问责制度。",
                "1、询问被审计对象，了解到目前中心各应用系统的应用层、操作系统层与数据库层的应急预案承担了灾难恢复的重要功能，由工程运行部各组根据实际系统和人员组织的变化以及应急演练情况进行自行更新2、抽样审阅各应用系统的应用层、操作系统层与数据库层应急预案，发现应用层的外汇交易系统-应急交易或撤单应急预案最近更新为2011年，外汇询价净额清算业务通信异常故障应急预案最近更新为2013年，操作系统层的网络-生产系统-光端机故障应急预案最近更新为2011年，系统类-本币交易系统-网卡故障和系统宕机应急预案最近更新为2011年，数据库层的货币网系统-发现SQL注入攻击应急预案版本修订字段为空，且操作步骤仅停留在文字描述层面，未对技术细节进行描述。以上预案的应急操作步骤和联系人员名单均未及时更新，未实现与实际系统和人员组织的同步更新。建议责任部门形成应急操作手册定期评估机制，根据实际系统版本更迭和人员的变化对应急操作手册进行及时的更新；落实实际演练时对应急操作手册的修订完善机制，保证应急操作手册与业务系统实际配置相符；进一步加强各部门的应急演练频率，扩大应急演练范围，以满足灾难发生时进行恢复的实际需要。",
                "1、询问被审计对象，了解到目前中心实现了各系统的数据级备份和关键系统的应用级备份。数据级备份由工程运行部通过Oracle数据库自带的Dataguard存储复制功能，将数据库实时异地备份至北京异地灾备中心，备份情况由IBMTivoli系统进行实时监控。应用、操作系统及数据库版本的灾备同步由工程运行部系统组与应用组通过ITIL单形式提至北京工程部，系统组通过在ITIL变更单中将变更任务同步指派至北京工程部进行操作系统层的变更升级，应用组在ITIL变更单确认本地的应用变更后通过指派服务请求单至北京工程部进行应用层的变更升级2、抽样检查审计范围内系统的数据库Dataguard备份情况，了解到均按既定的计划进行。现场检查了Tivoli的监控界面，了解到会对备份的中断异常进行监控报警，保证数据库异地备份的准确性3、询问被审计对象，了解到目前北京工程部针对本币交易系统采用频繁变更后的异地备份数据可用性验证的形式，达成了异地备份数据恢复验证测试的目的，但发现由于技术限制，目前尚未针对外汇交易系统进行数据恢复的验证测试。目前北京工程部的异地备份数据恢复验证仅通过约每年一次的灾备切换演练时被覆盖4、抽样检查了AIX操作系统补丁升级和外汇交易系统_V2.83.0.1-软硬件改造的变更的ITIL流程，了解到工程运行部均按照流程将升级要求提至北京工程部，并通过ULtraVNC远程桌面工具进行实时检查与协助。同时，软件开发升级包在传输过程中通过MD5码校验，保证了升级包的完整性5、现场检查时发现，2017年5月执行外汇交易系统灾备切换演练时，发生因期权模块的数据库版本与应用版本不一致，北京灾备系统无法顺利接替生产的情况，导致演练中断。建议考虑提高灾备切换演练频率，或在约每年一次的灾备切换演练之外增加其他对灾备环境应用整体有效性进行恢复验证的手段，通过提高灾备环境应用系统恢复检查的频率，以期更及时地发现可能存在的无法恢复的情况，缩小风险敞口，提升灾备应用系统的可用性和备份数据的可恢复性。",
                "1、询问被审计对象，了解到目前中心对各关键业务系统分别制定了对应的应急预案，也制定了自然灾害等非信息科技相关的应急预案，构成了中心的业务连续性框架2、审阅中心业务连续性框架中的各类预案，了解到业务系统应急预案中包含了对总体目标、规划组织结构、人员角色、任务、职责等，以保证业务和系统在突发事件后的正常运行，但发现自然灾害等非信息科技相关的应急预案中未对该种应急场景下如何调配人员及场地资源以保证业务连续性进行考虑。建议中心尽快完善业务连续性框架，对自然灾害等非信息科技相关的应急预案的内容进行扩充，与各业务系统各自的应急预案进行关联，明确该种应急场景下应如何保证业务和系统的持续运行，并在对应的应急演练中，邀请各业务系统管理员一同参与，在实际演练中对应急预案的完整性与准确性进行进一步的完善。",
                "1、询问被审计对象并审阅各系统，了解到目前中心对各关键业务系统分别制定了对应的应急预案以保证业务和系统在突发事件后的正常运行，构成了中心的业务连续性工作的核心内容，但由于缺乏统一的业务连续性管理框架体系，未对各业务系统的恢复能力与恢复要求进行优先级的判断，未统一整合各类业务系统业务恢复需要的场地、人员、设备和资金等资源，无法确保发生大规模灾难情况下的应急响应与业务恢复工作得到顺利开展。建议中心尽快建立统一的业务连续性管理框架体系，按照业务重要性、可容许服务中断时长、涉及会员机构范围等指标完善业务系统的优先级排序机制，建立一个全行认可的在数个系统同时发生故障时的恢复优先级标准；同时，对恢复所需人员、场地和资金等资源进行整合和梳理，定期检查关键应急资源的可用性，以确保在发生大规模灾难情况下的关键业务和系统能够得到优先恢复\"1、询问被审计对象并查阅《业务影响分析调研表》，了解到系统立项技术方案确认前将《业务影响分析调研表》递交至业务部门，以邮件形式沟通明确系统RTO、RPO的设置，由业务部门签字确认后方可对相关指标进行设置，以确保业务连续性指标设置符合业务发展需要2、审阅《业务影响分析及灾备定级报告》，发现报告内相关指标的设置与《业务影响分析调研表》一致，确认业务连续性指标的设置为系统灾备建设提供了指引。建议中心进一步明确规范RTO、RPO的提出时点，要求相关性能指标在项目开发初期作为技术立项签报的重要组成部分，以进一步提升业务部门和开发部门对于RTO、RPO指标的重视程度；同时，落实技术方案、需求规格说明书等开发项目文档的评审，对文档中RTO、RPO要求等关键内容进行检查并予以评估。",
                "1、询问被审计对象，了解到目前应急演练中发现的各类问题的整改由各系统属主部门自行管理负责，风险管理部仅负责进行督促工作，但不会定期跟进演练问题整改的执行情况。建议中心层面尽快形成一套完善的应急演练问题整改流程机制，明确规范各系统属主部门对应急演练问题整改的时间、成本、收益进行分析的职责，并要求各部门将问题整改的执行情况进行定期汇报，由风险管理部牵头汇总和执行整改结果抽检；设置问题整改执行情况KPI指标，并作为相关人员年度绩效考核标准中需要加以评定的要素之一\"1、询问被审计对象，了解到目前中心层面尚未制定外包规划及相关制度，在外包工作范围、外包岗位范围及外包人员比例等方面缺乏相应的规定。建议中心层面尽快基于信息科技战略、外包市场环境、自身风险控制能力和风险偏好，制定外包规划及相关制度，包括但不限于以下内容1）涉及战略管理、风险管理、内部审计及其他有关信息科技核心竞争力的职能不得外包，外包人员不得承担外包职责范围以外的重要岗位职责，不得承担了与安全保密相关的工作2）通过补充人员、提升技能、知识转移等方式，有针对性地获取或提升管理及技术能力，降低对服务提供商的依赖3）对自有人员与外包人员的人员数量比例进行较为明确地规定4）对不同级别的服务提供商采取差异化的管控措施，在有效管理重要风险的前提下降低管理成本。",
                "1、询问被审计对象并审阅《集中采购供应商资格登记管理办法》，了解到中心层面明确了外包商的准入标准和退出机制，但是尚未建立外包商考核标准和机制2、询问中汇公司被审计对象并审阅《外包商管理办法》，了解到中汇公司组织级QA人员每半年对外包商进行一次考核，通过加权汇总外包项目的考核结果形成对项目外包的外包商评价，通过算术平均外包人员的考核结果形成对人力外包的外包商评价。考核结果发送至中汇公司财务部同事处，作为对后续采购的参考意见。中汇公司财务部在中心供应商库列表外自行建立并维护中汇公司供应商库列表，要求供应商提供工商营业执照、组织机构代码证和税务登记证并进行登记维护3、询问技术开发部被审计对象，了解到技术开发部目前仅形成了外包项目考核。对项目的考核记录于验收总结报告中，作为验收报告的附件进行提交，且尚未对考核结果进行适当的运用。技术开发部在中心供应商库列表之外自行建立并维护开发部供应商库列表，要求供应商提供工商营业执照、组织机构代码证、税务登记证、开户银行资信证明、缴纳社保凭证、品牌授权代理证书等齐全的资质证明并进行登记维护4、询问工程运行部被审计对象并审阅《2016年度供方管理评分》，了解到工程运行部每年对外包商进行一次考核，并依照不同的服务类别对不同供应商进行考核评分，根据评分结果将供应商分为A/B/C/D四个级别，对于评分级别较低的供应商，将要求其进行整改，并根据整改结果决定是否再次与该供应商合作。同时审阅《供方档案》，确认工程运行部对外包商信息进行汇总同时不定期进行维护，内容包括供方名称、依赖程度、乙方信息、甲方信息、合同信息、合同类别等内容。建议中心建立统一的外包商考核制度与管理机制，明确考核与评分标准，并在制度中要求将外包商考核结果与外包商退出机制进行严格挂钩，使各部门的外包商考核得以遵从统一的制度要求进行规范化管理。在实际操作中要求各部门严格遵循该制度，依据评分标准对外包商进行定期考核，并根据定期评估的结果制定相应跟进措施，如根据服务水平协议进行赔偿、终止外包服务协议等。",
                "1、询问中汇公司被审计对象，了解到中汇公司的外包人员入场时需经过聘用部门的笔试及面试，并在试用期结束后通过试用期技能测评及笔试面试工作，方可转正。外包人员入场时通过外包人员管理系统进行域账号与工位、电脑等权限及资产的申请，外包人员离场时需通过邮件提前向项目组提出申请并完成工作交接，最后通过外包人员管理系统退还名下资产并注销账号与门禁2、抽样审阅了中汇公司外包人员入场的笔试及面试记录，以及试用期技能测评及笔试面试转正记录，了解到中汇公司对外包人员的入场和转正进行了严格的管控。现场检查了外包人员管理系统，了解到其中包含了新增人员/工具/资产等业务申请及资产归还与账号禁用功能，但发现存在以下问题：①根据已离场外包人员登记表抽样检查其开发工具账号，发现外包人员李博的账号未被禁用。②通过比对外包人员系统中导出的资产归属列表与盘点时资产实际归属人列表，发现系统中资产归属人与实际使用情况存在部分不一致。③通过检查已离场外包人员退还的内网机，发现其中开发文件与数据等未被及时清理3、询问技术开发部被审计对象，了解到技术开发部的外包人员入场时通过技术开发部人员进行门禁卡的申请与职位的录入4、询问工程运行部被审计对象，了解到对于绩效考核分数多次较低的外包人员，中心将主动提出更换要求，由项目负责人填写《外部技术人员变更需求》并签字，并由外包人员所在厂商盖章确认5、询问工程运行部被审计对象，了解到外包人员离场前需要发邮件向项目负责人进行申请，并将门禁卡及相关资产交至项目负责人处。建议中汇公司进一步加强和细化外包人员离场管理流程，对离场登记、离场资产交接、开发工具权限删除及交接后内网机数据清理等管理情况进行及时的全面自查整改以及后续的定期检查工作，具体包括以下内容1）规范外包人员的离场登记，通过技术手段将通知所属项目组的离场邮件与外包人员管理系统进行关联，或要求外包人员离职流程必须经过外包人员管理系统的系统确认，以保证每个离场人员的开发工具账号权限均已禁用2）落实外包人员的离场资产交接管理，要求外包人员离职流程必须包括对外包人员管理系统中的资产归属的更新，避免未经系统记录的直接交接操作3）对由项目组退还的内网机中的开发文件和数据进行及时清理，避免开发数据遭受未授权访问。",
                "1、询问被审计对象，了解到中心层面尚未制定外包人员培训的相关制度，目前通过各项目组自行组织培训的方式进行2、询问中汇公司被审计对象并审阅《培训管理规范》，了解到中汇公司将外包人员分配到各项目组，由项目组负责对外包人员自行组织培训3、询问技术开发部被审计对象，了解到技术开发部将外包人员分配至对应的项目经理，由项目经理负责对外包人员进行自行培训4、询问工程运行部被审计对象并审阅，了解到工程运行部将外包人员分配至对应的组，由各组负责对外包人员进行自行培训。建议中心尽快建立针对外包人员的培训制度，具体包括以下内容1）通过对外包人员开展安全制度和流程宣贯，增强外包人员对中心安全制度的理解及合规意识的培养，以确保其行为能遵循中心的相关流程和规范2）将外包人员纳入员工技能培训范围，通过入职培训、岗位技能培训、交叉培训等相关培训课程加强其技术操作能力3）通过问卷调查或考核的方式，对外包人员进行不定期的检查，以确定具备必要的安全意识、合规理解和知识技能。",
                "1、询问被审计对象，了解到目前中心尚未形成针对各类已上线应用系统的全面绩效评估机制和相关制度。各业务部门不定期进行市场调研，收集各用户机构对现有系统使用情况的反馈意见及建议并形成调研记录，但未就此形成系统的绩效评估。中汇公司对开发过程中的原始数据进行了收集和整理，但缺乏标准化的绩效评估指标对此进行项目绩效的分析。技术开发部仅对部分重大项目收集各部门提供的成本收益分析、软件开发质量等项目运行数据及评价，汇总形成项目总结，并于系统建设月度会议上进行展示。工程运行部尚未对项目后期模拟测试与上线流程环节的流程执行效率和情况进行回顾分析。建议中心建立并完善应用系统的全面绩效评估机制及评估体系，具体包含以下内容1）按系统从开发、上线到运行的各个阶段建立对应的评估流程，包括立项及设计情况评估、项目实施情况评估、系统运行情况评估、系统应用情况评估、项目综合事项评估，并设立各阶段的评估要点，如项目实施阶段对开发计划执行情况进行评估等2）针对每个阶段的每个评估要点，参照相应的评估依据制定具体的评估方法，并通过定量或定性的指标进行评估，如通过项目实际执行时间与项目计划执行时间的比例指标对开发计划执行情况进行评估3）设计相关应用系统绩效评估表单和指标，落实项目全生命周期各部门相关效益数据的整理与分析流程，确定项目各阶段的评估要点及对应的评估依据和评估方法，要求各相关部门共同参与对上线系统进行全面的绩效评估。"
        };
        String[] str2 = new String[]{
                "中心层面缺乏IT战略委员会，缺少对重大IT事项进行讨论、决策和监督的IT管理组织架构，无法满足业务发展对IT服务水平的要求。",
                "目前中心层面缺乏产品管理委员会或类似机构，以统筹协调业务需求的提出，统一各业务部门的意见及执行需求优先级排序，导致在软件开发生命周期中存在较为频繁的需求优先级前后调整的现象，可能造成开发资源浪费及项目延期等后果。",
                "当前中心层面尚未建立成熟的质量管理体系，在开发生命周期管理中主要依靠中汇公司的QA角色以及技术开发部项目经理的角色实施质量管理工作职能。",
                "《应用系统建设管理办法》中明确了各技术部门的定位，但未对各信息技术部门的部门职责及部门间的职责边界做出具体而明确的定义和描述。中心曾于2014年开展过“三定”工作，确定了各个部门的部门职责，但2014年至今各信息技术部门的职责发生了较大变动，中心未重新以发文的形式对部门职责重新进行定义和描述，未遵循《中国人民银行信息技术审计规范》的要求。",
                "中心对技术开发部的定位为中心的设计中心，承担需求设计的职能。但在目前开发部27名员工中，资深员工数量较少，有11名为最近半年到两年间新进的员工，部分员工能力与设计中心的职能要求存在一定差距。",
                "技术开发部目前尚未形成完善的备岗清单，未对各位员工的备岗人员进行书面明确。",
                "目前中心层面尚未形成统一的IT战略规划，由中心各IT职能部门自行制定各自的规划，且总体存在以下问题： 1、由于没有正式定义业务规划导入，各IT部门规划的合理性和前瞻性不能得到保证。 2、当前技术开发部形成了《业务系统总体框架》，工程运行部形成了《新一代基础设施及运维管理规划》，但尚缺乏IT治理建设规划、数据架构规划、技术架构规划、安全架构规划、投资管理、预算管理、资源管理、采购战略、外包战略以及对内外规应对等内容。",
                "目前中心层面尚未形成统一的IT战略规划，由中心各IT职能部门自行制定各自的规划，且中心层面尚未形成完善的IT战略规划的编制与维护流程，未遵循《中国人民银行信息技术审计规范》的要求。",
                "目前技术开发部已在新技术研究，选型，试用和引进方面进行了尝试，但在中心层面尚未形成新兴技术从研究、选型、试用到引进的规范性内部流程和相关制度。",
                "中心形成了《外包人员管理办法》，明确了对外包人员考核的范围和内容，但尚未对外包人员考核的方法及标准进行细化。当前中汇公司、技术开发部、工程运行部在实际操作中对外包人员的考核主要依据项目经理的主观判断，缺乏可量化的考核标准与依据。",
                "在制度层面，目前暂时缺失针对中心信息科技人员的技能培训的最低要求规定。",
                "目前软件资产的领用已经在OA系统中建立了相关流程，但是软件资产的登记依旧依靠技术开发部进行手工台账维护，在审计过程中发现存在少量软件资产或维保服务登记时间滞后的情况。",
                "中心层面制定了《软件资产管理暂行办法》，将软件资产盘点的职能定位至各个部门进行自行盘点，但未对软件资产盘点工作的频率和具体方式要求进行明确。中心目前未定期开展软件资产盘点工作，且未规定统一的盘点模板与策略，导致整体管控能力较弱，增加了软件资产非法违规使用的风险。",
                "目前中心层面尚未制定相关制度针对数据类信息资产进行明确的定义和分类，缺乏数据对应的属主部门，故从生产环境取数时对需要脱敏的数据内容及数据年限要求存在随意性，未遵循《中国人民银行信息技术审计规范》的要求。目前仅在工程运行部内部基于ISO27001制定了《信息分类分级管理细则》，针对信息的分类和分级做了明确定义和规定。",
                "内外网数据交换方面存在如下问题： 1、目前光盘的领用和登记的前端管控机制较为薄弱，现场检查时发现目前未对数据刻录行为进行记录，且未对每次刻录的光盘数据进行及时的清理，可能存在数据通过光盘泄露的风险，未遵循中心《信息安全管理办法》及《中国人民银行计算机系统信息安全管理规定》的要求。 2、联软安全助手能够限制注册U盘的最大使用次数和允许使用时间，但申请注册U盘的《外汇交易中心安全助手变更申请单》中并未设计限次、限时栏位，目前，注册U盘在ECC中的拷贝权限一经开通即长期有效，不符合最小授权原则。",
                "工程运行部已经制定了《岗位调整和人员调动管理办法》，要求员工离岗做好交接工作。但是现场检查发现员工工作交接方面未形成书面的工作交接流程，目前新老员工仅通过口头形式进行工作交接，存在工作交接内容遗漏，交接手续不严格，未遵循《中国人民银行信息技术审计规范》的要求。",
                "运行部目前成立了信息安全工作小组，每年组织进行全员信息安全意识培训，并对培训效果进行回顾，但现场检查发现仍存在部分员工安全意识较为薄弱的现象。检查过程中发现存在部分中心和中汇员工内网机未设置定时屏幕保护程序、内网机装有工作无关软件、密码管控较弱、23号楼2楼生产机房散落有包括网络拓扑图和设备IP地址等敏感信息的纸质文件等情况。",
                "中心层面尚未针对各个生产系统的账号权限出具制度的约束，目前各业务部门各自管辖的应用系统的权限增删改流程主要通过内部邮件审批的方式进行，检查过程中发现存在部分已调岗/离职员工的系统权限未及时调整或注销的情况，未遵循《中国人民银行信息技术审计规范》的要求。",
                "现场审计时发现堡垒机的管理存在如下问题： 1、目前堡垒机日志的剩余存储空间尚未实现自动监控，只能通过人工登录服务器的方式进行查看； 2、堡垒机审计日志和Windows用户操作录屏日志目前仅保存3个月，未达到《网络安全法》要求的6个月； 3、目前尚未针对堡垒机的服务器日志进行备份； 4、部分已调岗员工的堡垒机账号未锁定",
                "中心层面尚未针对应用层的内部用户建立用户账号定期审阅制度和机制。且工程运行部制定了部门制度《账号和口令管理细则》，要求安全组每季度通过审计平台抽查特权账号的操作日志，但近半年仅执行一次。",
                "现场审计时发现密码配置方面存在如下问题，未遵循中心《账号和口令管理细则》和《中国人民银行信息技术审计规范》的要求： 1、Linux操作系统未配置密码到期策略； 2、本币系统的ORACLE数据库密码配置策略未设置密码到期策略； 3、现场审计时发现，外汇交易核心系统参数维护账号的密码为“111111”，密码设置过于简单； 4、现场审计时发现，监控系统的系统用户账号目前均使用相同的8位密码，且未进行过修改，不满足中心制度要求的“程序用户、接口用户密码至少为16位，且至少2年修改一次”的规定； 5、外汇交易系统的LCM辅助端密码设置规则固化于系统中无法进行修改，且RET核心端的密码策略配置不符合中心信息安全制度要求。",
                "《网络设备配置规范》未及时更新，最近一次的更新时间为2015年6月，版本的时效性存在问题。同时，现场审计时发现，存在个别接入交换机ACL配置未及时更新，个别核心交换机未启用ACL配置的情况，未遵循《中国人民银行信息技术审计规范》的要求。",
                "现场审计发现目前仅21台ECC场务操作区终端绑定了MAC地址，剩余34台尚未绑定，存在非法内联的风险，未遵循《中国人民银行信息技术审计规范》的要求。",
                "现有的《网络设备配置规范》版本的时效性存在问题，制度中未规定对console、vty端口设置登录尝试失败次数等控制措施，现场检查时发现未对网络设备的console、vty端口配置登录尝试失败次数，未遵循《中国人民银行信息技术审计规范》的要求。此外，现场检查时发现存在个别非生产网段的网络设备未禁用Telnet服务的现象。",
                "桌面管理方面，审计发现问题如下： 1、尚未明确内部安装软件的黑/白名单管理机制对终端软件的安装情况进行限制，同时联软未启用相关的管控功能，无法管控个人终端上的软件安装行为，发现部分员工电脑装有各类工作无关的软件，未遵循《中国人民银行计算机系统信息安全管理规定》的要求。 2、目前针对使用弱口令的终端用户，联软仅配置了告警策略，未启用强制断网管控功能； 3、部分员工桌面未设置屏幕保护策略，未遵循《中国人民银行计算机系统信息安全管理规定》的要求。联软能够检测该类行为，但未对其采取任何警告或强制措施； 4、目前ECC终端接入网段和部分办公大楼的网络交换机未配置准入策略，存在外接设备和非法内联的风险。",
                "目前配置基线核查管理尚处于准备和起步阶段，尚未建立针对中心各类网络设备、操作系统、数据库、中间件等进行安全配置核查的相关制度，未明确配置基线核查管理的具体流程，执行频率等，且目前尚未定期执行过安全配置核查工作。同时，现场审计时发现，存在个别接入交换机ACL配置未及时更新，个别核心交换机未启用ACL配置的情况。",
                "现场审计时发现，在CMDB中登记的部分信息存在缺失，未遵循《中国人民银行信息技术审计规范》的要求： 1、网络设备资产信息表部分内容缺失，例如：\"存在位置\"、\"状态\"、“对联设备接口”等； 2、网络安全策略存在部分字段遗漏，例如：“管理终端地址”、“IOS软件版本”等；",
                "目前尚未明确内部安装软件的黑/白名单管理机制对终端软件的安装情况进行限制，同时联软未启用相关的管控功能，无法管控个人终端上的软件安装行为。现场审计时发现部分员工电脑装有工作无关的软件，未遵循《中国人民银行计算机系统信息安全管理规定》的要求。",
                "目前中心层面尚未实现对项目全生命周期的统一管控，开发的各阶段分别由业务部门、技术开发部、中汇公司、工程运行部进行负责，缺乏整个流程的项目经理角色，未定义诸如项目执行委员会，项目管理办公室等中心层面的管理职能和管理结构。另外，我们发现各技术部门在项目开发周期中的职责定义尚不明晰，诸如对性能测试、可靠性测试、安全性测试、非功能性指标设定等工作的提出职责和阶段未达成共识。",
                "《应用系统建设管理办法》中规定，项目开发计划变更须经各部门的项目负责人书面确认，并上报中汇公司领导同意后重新形成项目开发计划基线。但目前除新一代交易系统的开发计划会通过《项目计划变更申请单》进行各部门项目负责人的书面确认外，各其他项目的开发计划变更主要通过邮件形式与各部门项目负责人确认并抄送中汇领导层，未形成完整的报批流程。",
                "技术开发部定期就其认为较为重要的未实现需求领域与业务部门进行沟通并确定实施优先级，但未对所有历史未实现需求条目进行统筹归总并有效跟踪，导致部分需求长期未纳入版本排期安排，如“2015-本币调研优化需求”。",
                "项目全生命周期管理过程中尚未形成完整的质量管理计划，目前仅在开发过程中由中汇QA人员对项目的关键节点进行质量评审，未遵循《中国人民银行信息技术审计规范》的要求。",
                "现场检查CQ工具的缺陷处理流程时，发现存在少量缺陷的解决人和复核人为同一人的现象，导致缺陷的处理未经复核即流转至下一步的情况。",
                "现场检查系统源代码的访问控制管理时发现存在以下问题： 1、目前中汇公司对系统源代码开发工具的访问权限的增、删、改主要由工具组统一管理，但暂未制定针对系统源代码开发工具的访问权限控制的管理规定。 2、尚未形成对离职人员开发工具账号权限禁用的完善流程，现场检查发现存在已离职人员的开发工具账号未禁用的现象。 3、工具组并未对域控密码的长度复杂度进行限制，也未要求首次登陆强制修改密码，现场检查过程中发现多名员工的密码设置均与用户名保持一致，可能存在源代码被未经授权的访问的风险。",
                "现场检查代码走查记录时，发现代码走查记录和扫描报告不作为验收测试准入的交付物进行提交，存在个别项目组未保留系统代码走查结果，可能存在未进行代码走查或扫描工作的风险，未遵循《中国人民银行信息技术审计规范》的要求，自2017年起各项目群均已进行代码扫描及报告的归档。此外，目前项目组对代码走查中发现的缺陷进行有选择性的修复，缺乏统一的判断标准，可能存在代码走查质量不达标的情况。",
                "现场检查时发现存在中汇公司使用模拟环境作为UAT测试环境使用，且开发人员获得了该环境的ROOT权限的现象，该类特殊使用情况仅通过会议确认了借用模拟环境进行开发测试的申请，但未提及ROOT权限的管理，后期也未通过规范的流程进行审批。",
                "第三方测试团队对测试环节的管理存在缺陷，现场检查时发现个别项目存在以下问题： 1、除了测试结果存在缺陷的条目外，未对测试通过的条目进行恰当留痕，存在标记已通过条目实际未经恰当测试的可能。 2、通过多轮测试保证对测试用例的全量覆盖，每轮测试计划的实施情况通过测试日报与每日工作进度表进行记录，但实际检查发现测试人员每日工作进度表存在漏记现象，无法保证测试用例的全量执行。 3、测试的进度及结果记录缺乏规范性，目前测试用例平台Testlink上的记录与每日工作进度表的记录及第三方测试报告中的记录均存在不一致的情况。",
                "现场检查时发现自2012年起，中汇公司通过Everything平台读取CC平台上的各类项目资料，但是Everything平台未设置必要的访问权限控制，且平台上存放有各类系统开发项目文档，存在项目资料被未经授权人员获取或泄露的风险。",
                "由于针对恢复性测试的制度要求较为简单，目前存在如下两个问题：1.没有要求恢复性测试具备覆盖率的概念，可能造成某些系统的备份数据一直未进行恢复性测试的情况；2.恢复性测试目前不会覆盖本年度上线的重要系统，恢复性测试计划的修订更新机制尚存缺失。",
                "现场审计时发现ITIL系统的权限管理存在如下问题： 1、中汇公司各项目组目前拥有与工程运行部内部同等的“二线支持权限”，可以访问并使用当前生产环境中的各类事件、问题和变更的ITIL流程，存在敏感信息泄露风险。 2、技术开发部个别员工被赋予了“二线支持权限”； 3、个别已离职、调岗员工的ITIL权限未及时锁定； 4、存在测试账号“test001”未删除的现象； 5、个别账号的ITIL权限设置大于申请人的申请权限需求",
                "目前尚未建立相关机制及时更新监控系统告警接收人列表，现场审计时发现，工程运行部个别调岗员工仍在监控系统告警接收人列表中，未予以删除。",
                "机房内存在杂物堆放的情况，并散落有包括网络拓扑图和设备IP地址等敏感信息的纸质文件。",
                "交易中心目前尚未形成机房访问权限清单的定期审阅流程，同时在现场检查中发现存在已调岗人员的机房权限未调整的情况，未遵循《中国人民银行信息技术审计规范》的要求。",
                "目前中心对紧急变更的定义和准入要求较为宽泛，存在由业务需求引发的紧急变更临时转为普通变更或普通变更临时转为紧急变更的现象，导致中汇公司资源调配和项目进度受到影响。",
                "目前中心各应用系统的应用层、操作系统层与数据库层的应急操作手册承担了业务和系统灾难恢复的重要功能，但相关责任部门未根据实际系统版本更迭以及主责部门人员流动的情况对上述应急操作手册进行及时的更新，大部分手册最近修订时间为2011-2013年，且个别应急恢复步骤描述较为简单，可能导致灾难发生时无法按照应急手册进行有效的业务和系统恢复。",
                "目前灾备环境外汇系统应用的整体有效性仅通过约每年一次的灾备切换演练时被覆盖，现场检查时发现，存在由于跨部门沟通疏漏导致的生产和灾备环境的外汇期权模块的应用版本以及配套的数据库客户端环境存在差异进而无法成功拉起外汇期权模块灾备环境应用，在目前的操作实践下，该情况约一年后方才在外汇交易系统灾备切换演练中被识别，因此灾备环境应用系统无法启动的风险暴露时间较长。",
                "目前中心对各关键业务系统分别制定了对应的应急预案以保证业务和系统在突发事件后的正常运行，同时制定了应对自然灾害、公共安全事件等非信息科技相关的应急预案，但未对该种应急场景下如何调配人员及场地资源以保证业务连续性进行考虑。",
                "目前中心对各关键业务系统分别制定了对应的应急预案以保证业务和系统在突发事件后的正常运行，构成了中心的业务连续性工作的核心内容，但由于缺乏统一的业务连续性管理框架体系，未对各业务系统的恢复能力与恢复要求进行优先级的判断，未统一整合各类业务系统业务恢复需要的场地、人员、设备和资金等资源，无法确保发生大规模灾难情况下的应急响应与业务恢复工作得到顺利开展，未遵循《中国人民银行信息技术审计规范》的要求。",
                "目前虽然建立了RTO、RTO的流程表单，但是缺乏明确制度对新系统上线的RTO、RPO指标的提出时点进行约束，可能导致开发系统不能完全满足RTO、RPO性能要求的风险。",
                "目前应急演练中发现的各类问题的整改由各系统属主部门自行管理负责，风险管理部仅负责对应急演练问题整改工作进行督促，中心尚未形成一套完善的应急演练问题整改流程机制，风险管理部对各部门应急演练问题整改情况未进行定期的跟踪和汇报。",
                "目前中心层面尚未制定外包规划及相关制度，在外包工作范围、外包岗位范围及外包人员比例等方面缺乏相应的规定。",
                "目前仅中汇公司形成了《外包商考核管理办法》，但中心尚未形成统一的外包商考核制度与管理机制，导致各部门目前对外包商的考核管理水平存在差异，并且目前尚未要求将外包商考核结果与外包商退出机制进行严格挂钩。",
                "现场检查中发现中汇公司外包人员离场管理存在以下问题： 1、存在已离场外包人员的开发工具账号未禁用的现象。 2、根据外包人员系统中导出的资产归属列表与盘点时资产实际归属人列表的对比结果，发现系统中资产归属人与实际使用情况不一致，外包人员离场时资产交接情况未在外包人员管理系统中做到及时更新。 3、存在已退还的内网机中开发文件和数据等未被及时清理的现象。",
                "中汇公司、技术开发部和运行部各项目组自行负责对外包人员进行培训，但在制度层面，仅中汇公司形成了《培训管理规范》，其他部门目前暂时缺失针对外包人员培训的相关制度。",
                "目前中心尚未形成针对各类已上线应用系统的全面绩效评估机制和相关制度，业务部门仅收集市场反馈意见但未就此形成系统的绩效评估，中汇公司对开发过程中的原始数据进行了收集和整理，但缺乏标准化的绩效评估指标对此进行项目绩效的分析，技术开发部仅对部分重大项目进行项目总结以及年度总结，工程运行部尚未对项目后期模拟测试与上线流程环节的流程执行效率和情况进行回顾分析。"
        };
        String[] str3 = new String[]{
                "技术开发部",
                "中汇公司",
                "中汇公司",
                "技术开发部",
                "中汇公司",
                "中汇公司",
                "技术开发部",
                "技术开发部",
                "技术开发部",
                "中汇公司",
                "中汇公司",
                "技术开发部",
                "财务部",
                "工程运行部",
                "中汇公司",
                "人力资源部",
                "工程运行部",
                "市场一部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "工程运行部",
                "中汇公司",
                "中汇公司",
                "工程运行部",
                "工程运行部",
                "工程运行部",
                "行政保卫部",
                "行政保卫部",
                "工程运行部",
                "风险管理部",
                "工程运行部",
                "风险管理部",
                "风险管理部",
                "工程运行部",
                "风险管理部",
                "技术开发部",
                "中汇公司",
                "中汇公司",
                "中汇公司",
                "技术开发部"
        };
        for(int i=0;  i<str1.length;i++){
            File xlsFile = new File("F:\\Users\\lyk\\IdeaProjects\\untitled1\\excel\\"
                    + fileNames[i] + ".xls");
            WritableWorkbook workbook = Workbook.createWorkbook(xlsFile);
            WritableSheet sheet = workbook.createSheet("sheet1", 0);

            sheet.addCell(new Label(0,0,"审计测试结果"));
            sheet.addCell(new Label(1,0,"审计发现整改建议"));
            sheet.addCell(new Label(2,0,"系统"));
            sheet.addCell(new Label(3,0,"关键字"));
            sheet.addCell(new Label(4,0,"联系人"));
            sheet.addCell(new Label(5,0,"问题部门"));
            sheet.addCell(new Label(6,0,"问题级别"));
            sheet.addCell(new Label(7,0,"问题状"));
            sheet.addCell(new Label(8,0,"跟踪情况记录"));
            sheet.addCell(new Label(9,0,"备注"));
            sheet.addCell(new Label(10,0,"问题单号"));

            sheet.addCell(new Label(0,1,str1[i]));
            sheet.addCell(new Label(1,1,str2[i]));
            sheet.addCell(new Label(2,1,"N/A"));
            sheet.addCell(new Label(3,1,"2017年全面审计"));
            sheet.addCell(new Label(4,1,"陈晓跃"));
            sheet.addCell(new Label(5,1,str3[i]));
            sheet.addCell(new Label(6,1,"轻微"));
            sheet.addCell(new Label(7,1,"发现问题"));
            sheet.addCell(new Label(8,1,""));
            sheet.addCell(new Label(9,1,"无"));
            sheet.addCell(new Label(10,1,""));

            workbook.write();
            workbook.close();

        }
//        File xlsFile = new File("jxl.xls");
//        // 创建一个工作簿
//        WritableWorkbook workbook = Workbook.createWorkbook(xlsFile);
//        // 创建一个工作表
//        WritableSheet sheet = workbook.createSheet("sheet1", 0);
//        for (int row = 0; row < 10; row++) {
//            for (int col = 0; col < 10; col++) {
//                // 向工作表中添加数据
//                sheet.addCell(new Label(col, row, "data" + row + col));
//            }
//        }
//        workbook.write();
//        workbook.close();
    }
}
